CVE-2026-110103
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
bbs-go (wersje do 4.4.6) zawiera podatność trwałego skryptowania między witrynami (stored XSS), która umożliwia uwierzytelnionym użytkownikom przesyłanie plików HTML lub SVG przez fałszowanie typu multipart Content-Type w POST /api/upload. Atakujący mogą przesyłać dokumenty ze skryptami, które są serwowane inline z /res, a następnie wysyłać ich URL administratorom, co powoduje wykonanie skryptu w kontekście domeny forum.
Ocena ryzyka
Ryzyko obejmuje przejęcie kont administratorów, kradzież danych lub nieautoryzowane działania w imieniu forum, co może naruszyć zaufanie użytkowników.
Rekomendacja
Należy walidować typ plików na podstawie zawartości (zamiast tylko nagłówka Content-Type), blokować przesyłanie niebezpiecznych typów oraz stosować nagłówki bezpieczeństwa (np. Content-Disposition attachment) dla niezweryfikowanych plików.
Inne podatności w bbs-go
Zobacz wszystkie- CVE-2026-111639Wysokie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uwierzytelniania w endpoincie /api/login/google_one_tap, która pozwala zdalnym atakującym zalogować się jako inni użytkownicy, przesyłając tokeny Google ID wydane dla dowolnego klienta OAuth. Atakujący prowadzący własnego klienta Google OAuth może przechwycić podpisany przez Google token ID ofiary i odtworzyć go, ponieważ roszczenie aud nie jest nigdy sprawdzane, aby uzyskać uwierzytelnioną sesję jako konto ofiary powiązane z Google.
- CVE-2026-103396Średnie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.
- CVE-2023-36223Średnie
Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.
- CVE-2023-36222Średnie
Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.
Oryginalny opis (angielski, źródło NVD)
bbs-go through 4.4.6 contains a stored cross-site scripting vulnerability that allows authenticated users to upload HTML or SVG files by spoofing the multipart Content-Type in POST /api/upload. Attackers can upload script-bearing documents served inline from /res and send their URLs to administrators, executing script on the forum's origin.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS