CVE-2026-22674

ŚrednieCVSS 4.8

Opublikowano: 18/06/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Hashgraph Guardian do wersji 3.6.0 zawiera podatność na trwałe skrypty między witrynami (XSS). Uwierzytelnieni użytkownicy z rolą STANDARD_REGISTRY mogą wstrzykiwać złośliwe skrypty poprzez przesłanie spreparowanej wartości companyName w punkcie końcowym API konfiguracji marki. Atakujący wykorzystują niesanitowane przypisanie innerHTML w usłudze brandingu do wykonania dowolnego kodu JavaScript w przeglądarce każdego uwierzytelnionego użytkownika przy każdym ładowaniu strony.

Ocena ryzyka

Ryzyko polega na możliwości kradzieży sesji, przechwytywania danych uwierzytelniających lub wykonywania nieautoryzowanych działań w kontekście każdego uwierzytelnionego użytkownika. Atak może prowadzić do naruszenia poufności i integralności danych w całej organizacji.

Rekomendacja

Należy natychmiast zaktualizować Hashgraph Guardian do wersji zawierającej commit ba8c566 lub nowszej. Dodatkowo, wdrożyć walidację i sanityzację danych wejściowych dla wszystkich pól API konfiguracji marki.

Inne podatności w Hashgraph Guardian

CVE-2026-39911Wysokie
Podatność w Hashgraph Guardian do wersji 3.5.1 (załatana w commicie 45fbe2f) umożliwia wykonanie niesandboxowanego kodu JavaScript w bloku Custom Logic policy. Uwierzytelnieni użytkownicy Standard Registry mogą przekazywać dowolne wyrażenia JavaScript bezpośrednio do konstruktora Function() Node.js, co pozwala na importowanie natywnych modułów Node.js i odczyt plików z systemu plików kontenera.

Oryginalny opis (angielski, źródło NVD)

Hashgraph Guardian through 3.6.0, fixed in commit ba8c566, contains a stored cross-site scripting vulnerability that allows authenticated users with the STANDARD_REGISTRY role to inject malicious scripts by submitting a crafted companyName value via the branding configuration API endpoint. Attackers can exploit the unsanitized innerHTML assignment in the branding service to execute arbitrary JavaScript in the browser of every authenticated user on every page load.