CVE-2026-27742
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Bludit 3.16.2 zawiera podatność na trwały XSS w funkcji treści postów. Aplikacja przeprowadza sanityzację danych wejściowych po stronie klienta, ale nie robi tego po stronie serwera. Uwierzytelniony użytkownik może wstrzyknąć dowolny JavaScript do treści posta, który jest przechowywany i wyświetlany innym użytkownikom bez odpowiedniego kodowania wyjścia.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji, kradzież poświadczeń, manipulację treścią lub inne działania w kontekście uprawnień ofiary. Atakujący może wykorzystać tę podatność do przeprowadzenia ataków na innych użytkowników systemu.
Rekomendacja
Należy zaktualizować Bludit do najnowszej wersji, która zawiera poprawkę dla tej podatności. Jeśli aktualizacja nie jest możliwa, należy wdrożyć serwerową walidację i kodowanie wyjścia dla wszystkich pól treści.
Oryginalny opis (angielski, źródło NVD)
Bludit version 3.16.2 contains a stored cross-site scripting (XSS) vulnerability in the post content functionality. The application performs client-side sanitation of content input but does not enforce equivalent sanitation on the server side. An authenticated user can inject arbitrary JavaScript into the content field of a post, which is stored and later rendered to other users without proper output encoding. When viewed, the injected script executes in the context of the victim’s browser, allowing session hijacking, credential theft, content manipulation, or other actions within the user’s privileges.