CVE-2026-18430
WysokieCVSS 7.2Streszczenie
HumHub 1.18.4 zawiera podatność na przechowywany cross-site scripting (XSS) w przepływie powiadomień o usunięciu komentarza. Administrator przestrzeni może usunąć komentarz innego użytkownika, wybrać opcję powiadomienia autora i umieścić HTML/JavaScript w polu przyczyny usunięcia.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta i naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację HumHub do wersji, która zawiera poprawkę eliminującą podatność XSS, oraz walidację i sanityzację danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
HumHub 1.18.4 contains a stored cross-site scripting vulnerability in the comment-deletion notification flow. A Space administrator can delete another user's comment, choose to notify the original author, and place HTML/JavaScript in the deletion reason.