CVE-2026-18277
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w widokach tworzenia i usuwania OcrModelRight w Scripta eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na przyznanie sobie dostępu do prywatnego modelu OCR innego użytkownika oraz na odebranie dostępu do modelu OCR dowolnemu użytkownikowi za pomocą żądania POST, ponieważ sprawdzenie własności jest umieszczone w get_context_data() i dlatego wykonuje się tylko na ścieżce renderowania GET.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do prywatnych modeli OCR, co może prowadzić do naruszenia poufności danych. Atak wymaga uwierzytelnienia, ale może być przeprowadzony przez każdego zalogowanego użytkownika.
Rekomendacja
Zaleca się aktualizację Scripta eScriptorium do wersji, która zawiera poprawkę. Należy również przejrzeć uprawnienia użytkowników i monitorować aktywność związaną z modelami OCR.
Inne podatności w Scripta eScriptorium
Zobacz wszystkie- CVE-2026-18359Wysokie
Podatność na podrabianie żądań po stronie serwera (SSRF) w obsłudze URI importu METS i IIIF w Scripta eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na zmuszenie serwera do wysyłania dowolnych żądań HTTP do wewnętrznych hostów, w tym do usługi metadanych instancji chmury, za pomocą parametru mets_uri lub iiif_uri w POST /api/documents/{pk}/imports/, ponieważ ustawienie IMPORT_ALLOWED_DOMAINS domyślnie ma wartość '*' i nie stosuje się filtrowania adresów, ograniczenia przekierowań ani limitu czasu.
- CVE-2026-18258Wysokie
Obejście autoryzacji w punktach końcowych API Line, LineTranscription, VirtualCollection, tag i process w Scripta/eScriptorium do wersji 26.04.1 pozwala zdalnemu uwierzytelnionemu użytkownikowi na odczyt, modyfikację i usuwanie treści transkrypcji innych użytkowników za pomocą kluczy podstawowych dostarczonych w treści żądania, które są odpytywane względem globalnego menedżera modeli zamiast zapytania o zakresie żądania.
Oryginalny opis (angielski, źródło NVD)
Missing authorization in the OcrModelRight create and delete views in Scripta eScriptorium through 26.04.1 allows a remote authenticated user to grant themselves access to another user's private OCR model and to revoke any user's OCR model access via a POST request, because the ownership check is placed in get_context_data() and therefore runs only on the GET rendering path