CVE-2026-116212
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Webasyst Framework do wersji 4.4.0 zawiera podatność na przechowywany cross-site scripting w aplikacji Photos, która pozwala uwierzytelnionym użytkownikom backendu wstrzyknąć JavaScript poprzez parametr url albumu. Atakujący z uprawnieniami do edycji albumów mogą zapisać wartość url, która wydostaje się z nieescapowanego atrybutu w DialogAlbumSettings.html, wykonując JavaScript w sesjach backendowych administratorów.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w kontekście sesji administratora, co może prowadzić do kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań.
Rekomendacja
Zaktualizuj Webasyst Framework do wersji nowszej niż 4.4.0, która naprawia tę podatność, oraz wdroż odpowiednie nagłówki Content Security Policy.
Inne podatności w Webasyst Framework
Zobacz wszystkie- CVE-2026-116213Średnie
Webasyst Framework do wersji 4.4.0 zawiera podatność na dowolne odczytanie plików w waArchiveTar::writeItem(), która tworzy dowiązania symboliczne z archiwów motywów bez walidacji celów tych dowiązań. Uwierzytelnieni użytkownicy z uprawnieniami do zarządzania motywami mogą przesłać motywy zawierające dowiązania do wa-config/db.php lub /etc/passwd i odczytać je poprzez publiczną ścieżkę motywu.
- CVE-2026-116210Średnie
Webasyst Framework do wersji 4.4.0 zawiera podatność na cross-site request forgery w aplikacji Photos, która pozwala zdalnym atakującym wykonywać akcje backendowe, ponieważ aplikacja nie włącza opcjonalnego sprawdzania CSRF frameworka. Atakujący mogą zwabić zalogowanych użytkowników Photos na złośliwą stronę, która wysyła sfałszowane żądania POST do photo/delete, album/save, photo/manageAccessSave lub photo/saveField, usuwając zdjęcia i zmieniając prawa dostępu.
- CVE-2026-51954Wysokie
W Webasyst Framework w wersji 4.0.3 i wcześniejszych występuje luka umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu. Wektorem ataku jest spreparowany adres URL autoryzacji OAuth z dowolnym parametrem redirect_uri.
Oryginalny opis (angielski, źródło NVD)
Webasyst Framework through 4.4.0 contains a stored cross-site scripting vulnerability in the Photos app that allows authenticated backend users to inject JavaScript via the album url parameter. Attackers with album edit rights can save a url value that breaks out of the unescaped attribute in DialogAlbumSettings.html, executing JavaScript in administrators' backend sessions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS