CVE-2026-27737
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
BigBlueButton przed wersją 3.0.19 nie sanityzuje danych wejściowych użytkownika w publicznym czacie podczas odtwarzania nagrań. Pozwala to złośliwemu aktorowi na przeprowadzenie ataku XSS, który aktywuje się u każdego odtwarzającego nagranie. Problem został naprawiony w wersji 3.0.19.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach wszystkich użytkowników odtwarzających nagranie, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację BigBlueButton do wersji 3.0.19 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
BigBlueButton is an open-source virtual classroom. In versions prior to 3.0.19, the recording playback (presentation format) was not sanitizing user's input in public chat. This allowed for a malicious actor to craft and carry out a targeted XSS attack, activated on anyone replaying the recording. This issue has been fixed 3.0.19.