CVE-2026-107272
ŚrednieCVSS 4.7Streszczenie
Gophish do wersji 0.12.1 zawiera podatności na przechowywany i odbity cross-site scripting, umożliwiające atakującym wstrzyknięcie skryptu poprzez zwracanie złośliwych komunikatów o błędach serwera SMTP. Atakujący kontrolujący lub przechwytujący serwer SMTP profilu wysyłki może wykonać skrypt, gdy administratorzy przeglądają wyniki kampanii lub wysyłają testowe e-maile, kradnąc klucze API.
Ocena ryzyka
Ryzyko obejmuje kradzież kluczy API i przejęcie kont administratorów, co może prowadzić do nieautoryzowanego dostępu do systemu i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Gophish do wersji nowszej niż 0.12.1 oraz wdrożenie filtrowania i sanityzacji danych wejściowych w celu zapobiegania wstrzykiwaniu skryptów.
Inne podatności w Gophish
Zobacz wszystkie- CVE-2026-107273Średnie
Gophish 0.11.0 do 0.12.1 zawiera podatność na server-side request forgery (SSRF), która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na dostęp do hostów loopback i prywatnych przez POST /api/import/site. Atakujący mogą przesyłać wewnętrzne adresy URL, których domyślna lista deny dialer nie blokuje, aby odczytać odpowiedzi usług i enumerować wewnętrzne hosty i porty przez komunikaty błędów.
- CVE-2026-107271Średnie
Gophish do wersji 0.12.1 zawiera podatność polegającą na obejściu limitu szybkości, która pozwala nieuwierzytelnionym atakującym ominąć ograniczenia logowania poprzez fałszowanie nagłówków X-Forwarded-For lub X-Real-IP. Atakujący mogą wysyłać różne adresy przekazywane w każdym żądaniu, aby ogranicznik oparty na zmienionym RemoteAddr nigdy nie zadziałał, umożliwiając nieograniczone zgadywanie haseł i ataki typu credential stuffing.
- CVE-2026-107270Wysokie
Gophish do wersji 0.12.1 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom przejmować grupy, szablony, strony docelowe i profile wysyłkowe innych użytkowników. Atakujący może podać sekwencyjny identyfikator innego użytkownika w żądaniach POST do /api/groups/, /api/templates/, /api/pages/ lub /api/smtp/, aby nadpisać i przepisać obiekty, blokując właścicieli i ujawniając listy odbiorców ofiar.
- CVE-2026-107269Niskie
Gophish do wersji 0.12.1 zawiera podatność polegającą na różnicy czasowej w AdminServer.Login, która pozwala nieuwierzytelnionym atakującym na enumerację prawidłowych nazw użytkowników poprzez mierzenie czasu odpowiedzi logowania.
- CVE-2026-82269Wysokie
Gophish do wersji 0.12.1 nie egzekwuje blokady konta ani wymogów zmiany hasła w oprogramowaniu pośredniczącym uwierzytelniania API. Atakujący z ważnymi kluczami API mogą ominąć te zabezpieczenia i zachować pełny dostęp do API nawet po zablokowaniu konta lub wymogu zmiany hasła.
- CVE-2026-39904Średnie
Gophish do wersji 0.12.1 zawiera podatność na odmowę usługi, która pozwala uwierzytelnionym użytkownikom z rolą User na wyczerpanie pamięci serwera poprzez przesłanie spreparowanego dokumentu Office jako załącznika szablonu wiadomości e-mail. Funkcja ApplyTemplate() w models/attachment.go przetwarza dokumenty Office jako archiwa ZIP i wywołuje ioutil.ReadAll() na każdym wpisie pliku bez ograniczeń rozmiaru nieskompresowanej zawartości, co pozwala bombie zip na rozszerzenie się do kilku gigabajtów w pamięci i spowodowanie zakończenia procesu przez system operacyjny.
Oryginalny opis (angielski, źródło NVD)
Gophish through 0.12.1 contains stored and reflected cross-site scripting vulnerabilities that allow attackers to inject script by returning malicious SMTP server error messages. Attackers controlling or intercepting a sending profile's SMTP server can execute script when administrators view campaign results or send test emails, stealing API keys.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS