CVE-2026-10729
NiskieCVSS 1.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W narzędziu Canarytokens firmy Thinkst Applied Research wykryto podatność na wstrzyknięcie HTML w e-mailach powiadomień o 'Slow Redirect' i 'Cloned Website'. Umożliwia to manipulację interfejsem oraz ataki XSS w klientach pocztowych renderujących HTML.
Ocena ryzyka
Atakujący może wysłać spreparowany token, który po aktywacji wyświetli złośliwy kod HTML/JavaScript w e-mailu ofiary, co może prowadzić do kradzieży danych lub przejęcia konta.
Rekomendacja
Należy zaktualizować Canarytokens do wersji zawierającej poprawkę (sha-bfda4df lub nowsza) oraz rozważyć wyłączenie renderowania HTML w klientach pocztowych.
Oryginalny opis (angielski, źródło NVD)
An HTML injection vulnerability in the notification email for "Slow Redirect" and "Cloned Website" Canarytokens exists in Thinkst Applied Research Canarytokens, enabling Interface Manipulation, Cross-Site Scripting (XSS) in emails clients that render HTML emails. This issue affects Canarytokens: from Docker tag sha-c42435e before sha-bfda4df, from Git commit c42435e before bfda4df.