CVE-2026-110802
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Altair w wersjach od 7.2.4 do 8.5.8 odczytuje plugin_sandbox_opts z ciągu zapytania iframe-sandbox i przekazuje kontrolowane przez atakującego scriptUrls do injectScript() w packages/altair-core/src/utils/inject.ts, co tworzy elementy script na stronie. Zamierzony przepływ nadrzędnej iframe umieszcza stronę w iframe z sandbox allow-scripts i bez allow-same-origin, ale bezpośrednie przejście do spreparowanego adresu URL iframe-sandbox pomija tę izolację i wykonuje dostarczony skrypt w origin serwującym Altair.
Ocena ryzyka
Wymaga to otwarcia spreparowanego adresu URL przez ofiarę, a wynikowy skrypt może uzyskać dostęp do pamięci czytelnej dla skryptów i wykonywać żądania same-origin zgodnie z mechanizmami uwierzytelniania i cookie wdrożenia. Może to prowadzić do kradzieży danych lub działań w kontekście ofiary.
Rekomendacja
Zaktualizuj Altair do wersji 8.5.8. Unikaj otwierania niezaufanych adresów URL iframe-sandbox i rozważ dodatkowe nagłówki bezpieczeństwa dla wdrożenia.
Inne podatności w Altair
Oryginalny opis (angielski, źródło NVD)
Altair is a GraphQL client for all platforms. From 7.2.4 until 8.5.8, packages/altair-iframe-sandbox/src/main.ts reads plugin_sandbox_opts from the iframe-sandbox query string and passes attacker-controlled scriptUrls to injectScript() in packages/altair-core/src/utils/inject.ts, which creates script elements in the page. The intended parent iframe flow places the page in an iframe with sandbox allow-scripts and without allow-same-origin, but direct navigation to a crafted iframe-sandbox URL omits that isolation and executes the supplied script in the origin serving Altair. Exploitation requires a victim to open the crafted URL, and the resulting script can access script-readable storage and make same-origin requests according to the deployment's authentication and cookie controls. This issue is fixed in version 8.5.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS