CVE-2026-17596
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Nexus Repository 3 jest podatny na przechowywany cross-site scripting (XSS). Użytkownik z uprawnieniem nexus:blobstores:create lub nexus:blobstores:update mógł ustawić nazwę magazynu blob zawierającą złośliwy skrypt, który później wykonywał się w przeglądarce innego użytkownika przeglądającego status kontroli zdrowia systemu. Problem naprawiono w wersji 3.95.0.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce administratora lub innego użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków. Wymaga to interakcji użytkownika.
Rekomendacja
Zaleca się aktualizację do wersji 3.95.0 lub nowszej oraz ograniczenie uprawnień do tworzenia/aktualizacji magazynów blob tylko dla zaufanych użytkowników. Należy również edukować użytkowników o ryzyku klikania w podejrzane linki.
Oryginalny opis (angielski, źródło NVD)
Nexus Repository 3 was found to be vulnerable to stored cross-site scripting (XSS). A user with the nexus:blobstores:create or nexus:blobstores:update permission could set a blob store name containing malicious script content, which would later execute in the browser of another user viewing system health-check status. This issue has been fixed in version 3.95.0.