CVE-2025-62798
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Sharp to framework do zarządzania treścią zbudowany dla Laravela jako pakiet. Przed wersją 9.11.1 odkryto podatność Cross-Site Scripting (XSS) w code16/sharp podczas renderowania treści za pomocą komponentu SharpShowTextField. W podatnych wersjach wyrażenia owinięte w {{ & }} były ewaluowane przez Vue, co pozwalało atakującym wstrzyknąć dowolny JavaScript lub HTML wykonujący się w przeglądarce podczas wyświetlania pola. Problem został naprawiony w wersji 9.11.1.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj pakiet code16/sharp do wersji 9.11.1 lub nowszej.
Inne podatności w Sharp
Zobacz wszystkie- GHSA-f88m-g3jw-g9cjWysokie
Wykryto i naprawiono kilka podatności w zależności libvips, z których dwie mają wysoki poziom dotkliwości w CVSSv4. Wersje sharp przed 0.35.0 przetwarzające niezaufane dane są podatne.
- CVE-2026-53634Średnie
Sharp, pakiet Laravel do zarządzania treścią, w wersjach od 9.0.0 do 9.22.3 nie egzekwuje kontroli dostępu w endpointach create i store funkcji Quick Creation Command. Uwierzytelniony użytkownik Sharp bez uprawnień do tworzenia encji może ominąć autoryzację i tworzyć nowe rekordy dla encji z skonfigurowanym handlerem Quick Creation Command.
- CVE-2026-44692Wysokie
Sharp, framework CMS dla Laravela, przed wersją 9.22.0 udostępnia ogólny endpoint do pobierania plików, który autoryzuje dostęp tylko do instancji encji, ale odczytuje docelowy dysk i ścieżkę z parametrów żądania. Uwierzytelniony użytkownik Sharp, który może wyświetlić jeden prawidłowy rekord, może go użyć jako kotwicy autoryzacji do pobrania niepowiązanych obiektów z dysków Laravel Storage.
Oryginalny opis (angielski, źródło NVD)
Sharp is a content management framework built for Laravel as a package. Prior to 9.11.1, a Cross-Site Scripting (XSS) vulnerability was discovered in code16/sharp when rendering content using the SharpShowTextField component. In affected versions, expressions wrapped in {{ & }} were evaluated by Vue. This allowed attackers to inject arbitrary JavaScript or HTML that executes in the browser when the field is displayed. The issue has been fixed in v9.11.1 .
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS