CVE-2023-41167
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność CVE-2023-41167 w @webiny/react-rich-text-renderer przed wersją 5.37.2 umożliwia ataki XSS przez menedżerów treści. Problem wynika z użycia prop'a dangerouslySetInnerHTML bez sanitizacji HTML, co pozwala na wstrzyknięcie złośliwego skryptu.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS, które mogą prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Menedżerowie treści mogą nieświadomie wprowadzać złośliwe skrypty, co zwiększa ryzyko.
Rekomendacja
Zaleca się aktualizację @webiny/react-rich-text-renderer do wersji 5.37.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy sanitizacji HTML dla wprowadzanych treści.
Powiązane podatności
- CVE-2026-71449Krytyczne
W Johnson Controls EasyIO FS32 występuje podatność polegająca na użyciu wbudowanego klucza kryptograficznego, co pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji przed 3.0b63.
- CVE-2026-18397Krytyczne
Podatność umożliwia nieuwierzytelnione zdalne wykonanie kodu (RCE) na maszynie ofiary poprzez wykorzystanie słabości kryptograficznych i problemów z zarządzaniem pamięcią w komponencie SConnect native host. Atak wykorzystuje nieograniczony interfejs przesyłania wiadomości między kontrolowaną przez atakującego stroną internetową a native hostem, co pozwala na obejście kontroli bezpieczeństwa.
- CVE-2026-55395Krytyczne
W systemach Teledyne FLIR Aware2 (wersje do 6.9.0.2 dla PackBot i 1.7.9 dla FirstLook) w kontroli dostępu znajdują się zakodowane na stałe hasła. Zdalny, nieuwierzytelniony atakujący może je odczytać z firmware'u lub dokumentacji i uzyskać dostęp do robotów oraz zmienić ich konfigurację.
- CVE-2026-55393Krytyczne
W interfejsie webowym Teledyne FLIR Aware2 (wersje do 6.9.0.2 dla PackBot i 1.7.9 dla FirstLook) nie są weryfikowane ścieżki plików. Zdalny, nieuwierzytelniony atakujący może wykorzystać podatność typu path traversal do odczytu plików konfiguracyjnych i parametrów bezpieczeństwa robotów.
- CVE-2026-56662Krytyczne
W GetSimple CMS CE przed wersją 1.5 formularz aktualizacji UpdateCE nie zawierał tokenu anty-CSRF, a serwer nie weryfikował pochodzenia żądania. Zdalny atakujący może przygotować stronę automatycznie wysyłającą sfałszowane żądanie POST; gdy odwiedzi ją uwierzytelniony administrator, serwer wykona operację pobrania i wdrożenia kodu w sesji administratora, co prowadzi do zdalnego wykonania kodu. Dodatkowo pole url jest zapisywane bez escapowania, co umożliwia wstrzyknięcie HTML.
- CVE-2026-56660Krytyczne
W GetSimple CMS CE przed wersją 1.5 procedura aktualizacji w UpdateCE.php pobiera archiwum ZIP i rozpakowuje je do katalogu webroot bez walidacji typów plików i ścieżek. Ponieważ pliki PHP są zapisywane w dostępnym z sieci katalogu, atakujący, który spowoduje przetworzenie złośliwego archiwum, może uzyskać zdalne wykonanie kodu jako użytkownik serwera. Nazwy wpisów są używane niebezpiecznie, co umożliwia path traversal (../) do zapisu plików poza katalogiem docelowym.
- CVE-2026-14984Krytyczne
W Teledyne FLIR Aware2 wersje do 6.9.0.2 przesyłają dane w postaci jawnego tekstu w głównych punktach kontroli. Zdalny, nieuwierzytelniony atakujący może przechwycić, porwać lub modyfikować ruch sesyjny robotów PackBot poprzez sniffing lub przejęcie ruchu sieciowego.
- CVE-2026-104286KrytyczneAktywnie exploitowane
Podatność typu path traversal w Fortinet FortiMail (wersje 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8, 7.2.0-7.2.9) wynika z niewłaściwego ograniczenia ścieżki do katalogu. Nieuwierzytelniony atakujący może zapisywać dowolne pliki w systemie za pomocą spreparowanych żądań HTTP lub HTTPS.
- CVE-2026-102628Krytyczne
Aplikacja Cadmos LTI (cadmos.eummena.io) miała włączony tryb debugowania Laravel (APP_DEBUG=true, APP_ENV=local) w publicznie dostępnym środowisku. Nieuwierzytelniony atakujący może wysłać żądanie GET i wywołać nieobsłużony wyjątek, co powoduje ujawnienie całego środowiska serwera, w tym wszystkich zmiennych konfiguracyjnych .env, w postaci jawnego tekstu. Naprawiono do 2026-09-02.
- CVE-2026-55083Krytyczne
DHIS2 w wersjach od 2.42.0 do przed 2.42.5.1 oraz od 2.43.0 do przed 2.43.0.1 jest podatny na zdalne wykonanie kodu (RCE) poprzez niebezpieczną deserializację Java. Problem został naprawiony w wersjach 2.42.5.1, 2.43.0.1 i 2.44.
Oryginalny opis (angielski, źródło NVD)
@webiny/react-rich-text-renderer before 5.37.2 allows XSS attacks by content managers. This is a react component to render data coming from Webiny Headless CMS and Webiny Form Builder. Webiny is an open-source serverless enterprise CMS. The @webiny/react-rich-text-renderer package depends on the editor.js rich text editor to handle rich text content. The CMS stores rich text content from the editor.js into the database. When the @webiny/react-rich-text-renderer is used to render such content, it uses the dangerouslySetInnerHTML prop, without applying HTML sanitization. The issue arises when an actor, who in this context would specifically be a content manager with access to the CMS, inserts a malicious script as part of the user-defined input. This script is then injected and executed within the user's browser when the main page or admin page loads.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS