CVE-2026-120443

ŚrednieCVSS 6.1

Opublikowano: 02/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

GoFound do wersji 1.4.1 zawiera podatność przechowywanego XSS, która pozwala nieuwierzytelnionym atakującym wstrzykiwać skrypty przez przesyłanie tekstu dokumentu do /api/index. Złośliwy HTML jest zwracany bez escapowania przez searcher/engine.go i renderowany przez v-html w dashboard.vue, wykonując skrypt w przeglądarce administratora.

Ocena ryzyka

Wykonanie skryptu w przeglądarce administratora może doprowadzić do przejęcia sesji, kradzieży danych lub wykonania nieautoryzowanych działań w panelu.

Rekomendacja

Zaktualizuj GoFound do wersji nowszej niż 1.4.1 i rozważ wyłączenie renderowania v-html dla treści pochodzących z indeksu.

Inne podatności w GoFound

CVE-2026-120444Wysokie
GoFound do wersji 1.4.1 zawiera podatność path traversal, która pozwala nieuwierzytelnionym atakującym usuwać dowolne katalogi poprzez dostarczenie sekwencji ../ w parametrze database. Atakujący może wysyłać żądania GET do /api/db/create i /api/db/drop, bezpośrednio lub przez przeglądarkę ofiary, wywołując os.RemoveAll na katalogach poza katalogiem danych.

Oryginalny opis (angielski, źródło NVD)

GoFound through 1.4.1 contains a stored cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts by submitting document text to /api/index. Attackers can index malicious HTML that searcher/engine.go returns unescaped and dashboard.vue renders with v-html, executing script in an administrator's browser when an admin search matches the document.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS