CVE-2026-110101

ŚrednieCVSS 5.4

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Koillection w wersji do 1.8.4 zawiera podatność typu stored XSS. Uwierzytelnieni użytkownicy mogą przesyłać pliki HTML jako załączniki bez ograniczeń MIME, a pliki te są serwowane jako text/html z katalogu public/uploads, co pozwala na wykonanie JavaScriptu w sesji ofiary.

Ocena ryzyka

Atakujący może wykonać dowolny JavaScript w przeglądarce ofiary, przejmując jej sesję i wykonując działania w jej imieniu. Stanowi to poważne ryzyko dla poufności i integralności danych w aplikacji.

Rekomendacja

Zaktualizuj Koillection do wersji nowszej niż 1.8.4, jeśli jest dostępna, lub wdroż ograniczenia MIME dla przesyłanych plików oraz nagłówek Content-Disposition: attachment dla plików z katalogu uploads.

Inne podatności w Koillection

CVE-2025-9747Średnie
W Koillection do wersji 1.6.18 wykryto podatność w nieznanej funkcji pliku assets/controllers/csrf_protection_controller.js, prowadzącą do cross-site request forgery (CSRF). Atak można wykonać zdalnie, a exploit jest publicznie dostępny. Poprawka została wydana w wersji 1.7.0.

Oryginalny opis (angielski, źródło NVD)

Koillection through 1.8.4 contains a stored cross-site scripting vulnerability that allows authenticated users to upload HTML files as Datum file attachments lacking MIME restrictions. Attackers can upload HTML payloads via POST /api/data/{id}/file, served as text/html from public/uploads, executing JavaScript in victims' sessions to perform actions on their behalf.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS