CVE-2026-116210
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Webasyst Framework do wersji 4.4.0 zawiera podatność na cross-site request forgery w aplikacji Photos, która pozwala zdalnym atakującym wykonywać akcje backendowe, ponieważ aplikacja nie włącza opcjonalnego sprawdzania CSRF frameworka. Atakujący mogą zwabić zalogowanych użytkowników Photos na złośliwą stronę, która wysyła sfałszowane żądania POST do photo/delete, album/save, photo/manageAccessSave lub photo/saveField, usuwając zdjęcia i zmieniając prawa dostępu.
Ocena ryzyka
Atakujący może zmusić zalogowanych użytkowników do nieświadomego wykonania akcji, takich jak usunięcie zdjęć lub zmiana praw dostępu, co może prowadzić do utraty danych lub naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj Webasyst Framework do wersji nowszej niż 4.4.0, która naprawia tę podatność, oraz włącz sprawdzanie CSRF w aplikacji Photos.
Inne podatności w Webasyst Framework
Zobacz wszystkie- CVE-2026-116213Średnie
Webasyst Framework do wersji 4.4.0 zawiera podatność na dowolne odczytanie plików w waArchiveTar::writeItem(), która tworzy dowiązania symboliczne z archiwów motywów bez walidacji celów tych dowiązań. Uwierzytelnieni użytkownicy z uprawnieniami do zarządzania motywami mogą przesłać motywy zawierające dowiązania do wa-config/db.php lub /etc/passwd i odczytać je poprzez publiczną ścieżkę motywu.
- CVE-2026-116212Średnie
Webasyst Framework do wersji 4.4.0 zawiera podatność na przechowywany cross-site scripting w aplikacji Photos, która pozwala uwierzytelnionym użytkownikom backendu wstrzyknąć JavaScript poprzez parametr url albumu. Atakujący z uprawnieniami do edycji albumów mogą zapisać wartość url, która wydostaje się z nieescapowanego atrybutu w DialogAlbumSettings.html, wykonując JavaScript w sesjach backendowych administratorów.
- CVE-2026-51954Wysokie
W Webasyst Framework w wersji 4.0.3 i wcześniejszych występuje luka umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu. Wektorem ataku jest spreparowany adres URL autoryzacji OAuth z dowolnym parametrem redirect_uri.
Oryginalny opis (angielski, źródło NVD)
Webasyst Framework through 4.4.0 contains a cross-site request forgery vulnerability in the Photos app that allows remote attackers to perform backend actions because the app does not enable the framework's opt-in CSRF check. Attackers can lure logged-in Photos users to a malicious page that submits forged POST requests to photo/delete, album/save, photo/manageAccessSave or photo/saveField, deleting photos and changing access rights.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS