CVE-2026-18276

ŚrednieCVSS 4.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Brak autoryzacji w konsumencie WebSocket w Scripta eScriptorium (do wersji 26.04.1) pozwala zdalnemu uwierzytelnionemu użytkownikowi na subskrypcję strumienia zdarzeń dowolnego dokumentu i obserwowanie aktywności innych użytkowników (segmentacja, transkrypcja, import, eksport, trenowanie) poprzez wartości object_cls i object_pk w wiadomości join-room, które są przekazywane do group_add bez sprawdzenia dostępu.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać wgląd w poufne dane i działania innych użytkowników, co narusza prywatność i może prowadzić do wycieku informacji. Brak kontroli dostępu umożliwia nieautoryzowany podgląd dokumentów.

Rekomendacja

Zaleca się natychmiastową aktualizację eScriptorium do wersji nowszej niż 26.04.1, jeśli dostępna jest poprawka. Należy również dodać odpowiednie sprawdzanie uprawnień przed dodaniem użytkownika do grupy WebSocket.

Inne podatności w eScriptorium

CVE-2026-18275Średnie
Obejście autoryzacji w serializerach procesu i taksonomii adnotacji w Scripta eScriptorium (do wersji 26.04.1) pozwala zdalnemu uwierzytelnionemu użytkownikowi na uruchamianie segmentacji i transkrypcji na częściach dokumentów innych użytkowników, nadpisując ich zawartość. Dzieje się to poprzez podanie kluczy głównych części do pola relacyjnego many=True, którego ograniczenie queryset zostało zastosowane do ManyRelatedField zamiast do child_relation, przez co nie miało efektu.

Oryginalny opis (angielski, źródło NVD)

Missing authorization in the websocket consumer in Scripta eScriptorium through 26.04.1 allows a remote authenticated user to subscribe to any document's event stream and observe another user's segmentation, transcription, import, export and training activity via the object_cls and object_pk values of a join-room message, which are passed to group_add without an access check

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS