CVE-2026-110228
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
wallabag 2.6.13 do 2.6.14 zawiera podatność na trwałe cross-site scripting, która pozwala uwierzytelnionym użytkownikom hostować dowolny HTML poprzez wywołanie nieudanego importu Pocket HTML, Pocket CSV lub Shaarli. Atakujący mogą przesłać plik HTML ze skryptem, ale bez elementów kotwicy, pozostawiając go w przewidywalnej ścieżce /uploads/import/<user-id>.html, aby wykonać skrypt w sesjach wallabag ofiar.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w kontekście sesji innych użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację wallabag do wersji, która naprawia tę podatność, oraz wdrożenie odpowiedniego kodowania i walidacji przesyłanych plików.
Inne podatności w wallabag
Zobacz wszystkie- CVE-2026-82089Wysokie
Aplikacja wallabag (fr.gaulupeau.apps.InThePoche) dla systemu Android w wersji do 2.6.0 zawiera podatność XSS, ponieważ dane z /api/entries są ładowane do WebView.
- CVE-2026-82081Średnie
wallabag w wersjach od 2 do 2.6.14 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu nieprawidłowego przetwarzania spreparowanego pola tytułu lub treści podczas eksportu do PDF.
- CVE-2023-4455Średnie
W repozytorium GitHub wallabag/wallabag przed wersją 2.6.3 występuje podatność typu Cross-Site Request Forgery (CSRF). Umożliwia to atakującym wysyłanie nieautoryzowanych żądań w imieniu użytkowników.
- CVE-2023-4454Średnie
W repozytorium GitHub wallabag/wallabag przed wersją 2.6.3 występuje podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Oryginalny opis (angielski, źródło NVD)
wallabag 2.6.13 through 2.6.14 contains a stored cross-site scripting vulnerability that allows authenticated users to host arbitrary HTML by triggering a failed Pocket HTML, Pocket CSV or Shaarli import. Attackers can upload an HTML file with script but no anchor elements, leaving it at the predictable /uploads/import/<user-id>.html path to execute script in victims' wallabag sessions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS