CVE-2026-108727
ŚrednieCVSS 4.3Streszczenie
EdgeEver do wersji 1.108.0 zawiera podatność braku autoryzacji w trasach szablonów notatek API Hono, która pozwala posiadaczom tokenów API o ograniczonym zakresie obejść ograniczenia zakresu tokenu, ponieważ handlery szablonów nigdy nie wywołują requireScopes. Atakujący z tokenem bez uprawnienia write:memos może zapisać szablon i wywołać POST /api/v1/templates/:id/use, aby tworzyć notatki oraz wyświetlać, modyfikować lub usuwać szablony w przestrzeni roboczej właściciela tokenu.
Ocena ryzyka
Atakujący może obejść ograniczenia tokenu i wykonywać nieautoryzowane operacje, takie jak tworzenie lub modyfikacja notatek, co prowadzi do naruszenia integralności danych i potencjalnego wycieku informacji. Może to skutkować nieautoryzowanym dostępem do zasobów organizacji.
Rekomendacja
Zaktualizuj EdgeEver do wersji nowszej niż 1.108.0, jeśli jest dostępna, lub zastosuj poprawki, które wymuszają sprawdzanie zakresów w handlerach szablonów. Regularnie audytuj tokeny API i ich uprawnienia.
Inne podatności w EdgeEver
Zobacz wszystkie- CVE-2026-109558Wysokie
EdgeEver od 1.6.0 do 1.112.0 zawiera podatność przechowywanego skryptu między witrynami (XSS) w TemplatesPane.tsx, która renderuje contentMarkdown szablonu z surowym HTML przez dangerouslySetInnerHTML bez sanityzacji. Atakujący mogą tworzyć szablony zawierające procedury obsługi zdarzeń HTML przez API lub token MCP, aby uruchomić skrypt w podglądzie i uzyskać dostęp do uprzywilejowanego mostka window.edgeeverDesktop.
- CVE-2026-109557Wysokie
EdgeEver do wersji 1.112.0 zawiera podatność przechowywanego skryptu między witrynami (XSS) w setMemoDragPreview, która umożliwia atakującym wstrzyknięcie skryptu przez nazwy notatników lub tytuły notatek. Atakujący mogą ustawić złośliwe nazwy przez narzędzia MCP create_notebook, rename_notebook lub create_memo, uruchamiając skrypt podczas przeciągania z dostępem do tokena sesji mostka desktopowego.
Oryginalny opis (angielski, źródło NVD)
EdgeEver through 1.108.0 contains a missing authorization vulnerability in the Hono API memo-template routes that allows holders of scoped API tokens to bypass token scope restrictions because template handlers never call requireScopes. Attackers with a token lacking write:memos can save a template and invoke POST /api/v1/templates/:id/use to create memos, and list, modify, or delete templates in the token owner's workspace.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS