CVE-2026-105950
NiskieCVSS 3.5Streszczenie
W getformwork formwork do wersji 2.3.12 wykryto podatność w funkcji DomSanitizer::sanitizeNodeAttribute w pliku formwork/src/Sanitizer/DomSanitizer.php w komponencie URI Sanitizer. Manipulacja argumentem formaction prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Może dojść do wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Może to naruszyć bezpieczeństwo aplikacji i jej użytkowników.
Rekomendacja
Zaktualizuj formwork do wersji 2.3.13 lub nowszej. Zastosuj poprawkę o identyfikatorze 729701e59c5886685c5a1d477bdc3035e41f18b1.
Inne podatności w formwork
Zobacz wszystkie- CVE-2026-104478Wysokie
Formwork przed wersją 2.3.13 zawiera podatność na path traversal w BackupController, która pozwala uwierzytelnionym użytkownikom panelu na odczyt lub usunięcie dowolnych plików. Atakujący z uprawnieniami do pobierania lub usuwania kopii zapasowych mogą użyć zakodowanego w base64 payloadu z backslashami, który omija funkcję basename w PHP na Linuksie, aby uzyskać dostęp do plików poza katalogiem kopii zapasowych.
- CVE-2026-82451Średnie
Formwork przed wersją 2.3.11 zawiera podatność na Stored Cross-Site Scripting w śledzeniu odwiedzin, która zapisuje nagłówek Referer bez escapowania. Nieuwierzytelnieni atakujący mogą spreparować złośliwe nagłówki Referer, aby wstrzyknąć kod, który wykona się w przeglądarce administratora podczas przeglądania panelu statystyk.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in getformwork formwork up to 2.3.12. Impacted is the function DomSanitizer::sanitizeNodeAttribute of the file formwork/src/Sanitizer/DomSanitizer.php of the component URI Sanitizer. Such manipulation of the argument formaction leads to cross site scripting. The attack may be launched remotely. Upgrading to version 2.3.13 is recommended to address this issue. The name of the patch is 729701e59c5886685c5a1d477bdc3035e41f18b1. Upgrading the affected component is advised.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS