CVE-2026-18258
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Obejście autoryzacji w punktach końcowych API Line, LineTranscription, VirtualCollection, tag i process w Scripta/eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na odczyt, modyfikację i usuwanie treści transkrypcji innych użytkowników za pomocą kluczy podstawowych dostarczonych w treści żądania, które są odpytywane względem globalnego menedżera modeli zamiast zapytania o zakresie żądania.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych transkrypcji, co może prowadzić do naruszenia integralności i poufności danych. Atak wymaga uwierzytelnienia, ale może być przeprowadzony przez każdego zalogowanego użytkownika.
Rekomendacja
Zaleca się aktualizację Scripta/eScriptorium do wersji, która zawiera poprawkę. Należy również przejrzeć uprawnienia dostępu do API i monitorować aktywność użytkowników.
Inne podatności w Scripta/eScriptorium
Zobacz wszystkie- CVE-2026-18359Wysokie
Podatność na podrabianie żądań po stronie serwera (SSRF) w obsłudze URI importu METS i IIIF w Scripta eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na zmuszenie serwera do wysyłania dowolnych żądań HTTP do wewnętrznych hostów, w tym do usługi metadanych instancji chmury, za pomocą parametru mets_uri lub iiif_uri w POST /api/documents/{pk}/imports/, ponieważ ustawienie IMPORT_ALLOWED_DOMAINS domyślnie ma wartość '*' i nie stosuje się filtrowania adresów, ograniczenia przekierowań ani limitu czasu.
- CVE-2026-18277Wysokie
Brak autoryzacji w widokach tworzenia i usuwania OcrModelRight w Scripta eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na przyznanie sobie dostępu do prywatnego modelu OCR innego użytkownika oraz na odebranie dostępu do modelu OCR dowolnemu użytkownikowi za pomocą żądania POST, ponieważ sprawdzenie własności jest umieszczone w get_context_data() i dlatego wykonuje się tylko na ścieżce renderowania GET.
Oryginalny opis (angielski, źródło NVD)
Authorization bypass in the Line, LineTranscription, VirtualCollection, tag and process API endpoints in Scripta/eScriptorium through 26.04.1 allows a remote authenticated user to read, modify and delete other users' transcription content via primary keys supplied in the request body, which are queried against the global model manager instead of the request-scoped queryset