CVE-2026-112868
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
H5P do wersji 1.17.9 zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Obejście autoryzacji może pozwolić użytkownikom na dostęp do zasobów lub operacji, do których nie powinni mieć uprawnień.
Rekomendacja
Zaktualizuj H5P do wersji nowszej niż 1.17.9 i zweryfikuj reguły kontroli dostępu.
Inne podatności w H5P
Zobacz wszystkie- CVE-2026-56006Wysokie
W wersjach H5P do 1.17.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-112867Średnie
Wtyczka H5P do wersji 1.17.9 zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Dane użytkownika nie są prawidłowo oczyszczane przed zapisaniem.
- CVE-2026-57321Wysokie
Wtyczka H5P w wersji 1.17.7 i starszych zawiera podatność umożliwiającą współtwórcy (contributor) usunięcie dowolnego pliku na serwerze. Luka wynika z braku odpowiedniej walidacji uprawnień podczas operacji usuwania plików.
- CVE-2025-68505Średnie
Wtyczka H5P (wersje do 1.16.1 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 1.16.1.
- CVE-2025-62951Średnie
Wtyczka H5P (icc0rz) zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do <= 1.16.0.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in H5P H5P h5p allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects H5P: from n/a through 1.17.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS