CVE-2026-14933
WysokieCVSS 8.6Streszczenie
W funkcji co-browsing w Unblu Spark 7.0–7.57.7 i 8.0–8.39.2 (on-premises i cloud) nieuwierzytelniony zdalny atakujący w roli odwiedzającego może wykonać dowolny JavaScript w przeglądarce agenta uczestniczącego w sesji co-browsing, poprzez treść strony renderowaną jako HTML. JavaScript działa w kontekście i pod tożsamością sesji agenta w Agent Desk lub Single Conversation Desk. Wykorzystanie wymaga dołączenia agenta do sesji z atakującym; mobilny co-apping nie jest dotknięty.
Ocena ryzyka
Atakujący może przejąć sesję agenta i wykonać działania w jego imieniu, co może prowadzić do wycieku danych lub nieautoryzowanych operacji. Wymaga to interakcji agenta, ale ryzyko jest wysokie ze względu na kontekst uprzywilejowany.
Rekomendacja
Zaktualizuj Unblu Spark do wersji nowszej niż 7.57.7 lub 8.39.2. Dodatkowo przeszkol agentów, aby nie dołączali do sesji co-browsing z nieznanymi użytkownikami.
Inne podatności w Unblu Spark
Zobacz wszystkie- CVE-2026-9589Krytyczne
Brak autoryzacji w operacjach kaskadowej konfiguracji Collaboration Server w Unblu Spark 7.0 do 8.36.1-hotfix.0 (on-premises i chmura). Uwierzytelniony zdalny atakujący może odczytywać i zmieniać właściwości konfiguracji encji, do których nie ma uprawnień, w tym innych użytkowników, kont, a w Unblu Cloud także kont innych klientów.
- CVE-2026-8152Krytyczne
Unblu Spark zawiera podatność na otwarte przekierowanie, którą można eskalować do ataku XSS opartego na DOM. Gdy komponent jest wdrożony z określoną konfiguracją, działa w tym samym pochodzeniu co aplikacja hostująca, co pozwala atakującemu na pełny dostęp do jej zasobów.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting in the embedded co-browsing feature in Unblu inc. Unblu Spark 7.0 through 7.57.7 and 8.0 through 8.39.2, on on-premises and cloud deployments, allows an unauthenticated remote attacker in the visitor role to execute arbitrary JavaScript in the browser of an agent taking part in the attacker's co-browsing session, via content of the co-browsed page that the agent's browser renders as HTML. The JavaScript runs in the context and under the identity of the agent's session in the Agent Desk or the Single Conversation Desk. Exploitation requires an agent to join an embedded co-browsing session with the attacker. Mobile co-apping isn't affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS