CVE-2026-11436

ŚrednieCVSS 4.3

Opublikowano: 06/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

W Mage AI do wersji 0.9.79 wykryto podatność na atak XSS w komponencie Sign-in Flow, w pliku mage_ai/frontend/components/Sessions/SignForm/index.tsx. Manipulacja argumentem query.redirect_url umożliwia zdalne wykonanie skryptów krzyżowych.

Ocena ryzyka

Ryzyko obejmuje możliwość kradzieży sesji użytkowników, przekierowań do złośliwych stron lub wykonania innych działań w kontekście przeglądarki ofiary.

Rekomendacja

Zaleca się natychmiastową aktualizację Mage AI do wersji powyżej 0.9.79 lub zastosowanie odpowiedniego filtra dla parametru redirect_url.

Inne podatności w Mage AI

CVE-2026-81030Średnie
Mage AI nie ogranicza ścieżek akceptowanych przez API elementów przeglądarki do katalogu projektu. Użytkownik z rolą Viewer, która daje dostęp tylko do odczytu w projekcie, może czytać dowolne pliki, do których ma dostęp proces serwera, podając ścieżkę bezwzględną. Użytkownik z rolą Editor może również zapisywać pliki poza katalogiem projektu.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in Mage AI up to 0.9.79. This impacts the function useMutation of the file mage_ai/frontend/components/Sessions/SignForm/index.tsx of the component Sign-in Flow. Performing a manipulation of the argument query.redirect_url results in cross site scripting. Remote exploitation of the attack is possible. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.