CVE-2026-18526
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
HumHub Community Edition 1.18.4 i 1.18.4-pl1 zawierają podatność na trwały XSS w przepływie renderowania potwierdzenia oEmbed.
Ocena ryzyka
Trwały XSS może pozwolić atakującemu na wstrzyknięcie złośliwego skryptu, który będzie wykonywany przy każdym wyświetleniu strony przez innych użytkowników, co może prowadzić do kradzieży danych lub przejęcia kont.
Rekomendacja
Zaleca się aktualizację HumHub do wersji, która naprawia tę podatność, oraz wdrożenie odpowiednich mechanizmów sanityzacji treści oEmbed.
Inne podatności w HumHub
Zobacz wszystkie- CVE-2026-93769Wysokie
HumHub 1.18.5 jest podatny na przechowywane XSS, które pozwala użytkownikowi z uprawnieniem Manage Users (admin_manage_users) na wstrzyknięcie trwałego kodu HTML/JavaScript do tytułu kategorii pola profilu.
- CVE-2026-18430Wysokie
HumHub 1.18.4 zawiera podatność na przechowywany cross-site scripting (XSS) w przepływie powiadomień o usunięciu komentarza. Administrator przestrzeni może usunąć komentarz innego użytkownika, wybrać opcję powiadomienia autora i umieścić HTML/JavaScript w polu przyczyny usunięcia.
- CVE-2026-18756Wysokie
HumHub Community Edition 1.18.4 zawiera odzwierciedloną podatność XSS w przepływie składania wniosku o członkostwo w przestrzeni. Atakujący może umieścić sterowaną przez siebie konfigurację przycisku w parametrze options ciągu zapytania formularza request-membership-form, nakłonić uwierzytelnionego nie-członka do przesłania legalnego formularza i spowodować, że serwer zwróci JavaScript zawierający kod atakującego.
- CVE-2026-47657Wysokie
Podatność w HumHub (sieć społecznościowa dla firm) pozwala każdemu uwierzytelnionemu użytkownikowi na usunięcie wszystkich członków z dowolnej przestrzeni (Space), niezależnie od jego roli. Brakuje kontroli dostępu w kontrolerze zarządzania członkami.
Oryginalny opis (angielski, źródło NVD)
HumHub Community Edition 1.18.4 and 1.18.4-pl1 contain a stored Cross-Site Scripting (XSS) vulnerability in the oEmbed confirmation rendering workflow.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS