CVE-2026-123094

ŚrednieCVSS 5.4

Opublikowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Huginn przed wersją 2026.11.05 zawiera podatność na przechowywany cross-site scripting w helperze service_label, który oznacza nieescapowane nazwy wyświetlane usług OAuth jako html_safe. Uwierzytelniony atakujący może połączyć konto OAuth ze spreparowanym pseudonimem, nazwą lub adresem e-mail i udostępnić je globalnie, wykonując JavaScript, gdy ofiary przypiszą je do Agentów i je wyświetlą.

Ocena ryzyka

Może dojść do ujawnienia danych uwierzytelniających, Agentów i Zdarzeń, a w przypadku administratora ofiary — do wykonania akcji administracyjnych. Ryzyko dotyczy instancji Huginn z wieloma użytkownikami.

Rekomendacja

Zaktualizuj Huginn do wersji 2026.11.05 lub nowszej. Ogranicz możliwość udostępniania kont OAuth między użytkownikami.

Inne podatności w Huginn

CVE-2026-63769Wysokie
Huginn przed wersją 2026.09.09 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w metodzie fetch_url klasy ScenarioImport, która umożliwia uwierzytelnionym użytkownikom wykonywanie dowolnych żądań HTTP poprzez przesłanie spreparowanych adresów URL. Atakujący mogą badać wewnętrzne usługi sieciowe, skanować porty na podstawie sygnatur błędów oraz uzyskiwać dostęp do punktów końcowych metadanych chmury w celu kradzieży poufnych poświadczeń.

Oryginalny opis (angielski, źródło NVD)

Huginn before 2026.11.05 contains a stored cross-site scripting vulnerability in the service_label helper that marks unescaped OAuth service display names as html_safe. Authenticated attackers can connect an OAuth account with a crafted nickname, name or email and share it globally, executing JavaScript when victims attach it to Agents and view them, exposing Credentials, Agents and Events, and admin actions if the victim is an administrator.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS