CVE-2026-35163
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.
Ocena ryzyka
Atakujący może przejąć kontrolę nad sesją OctoPrint ofiary, zakłócić drukowanie lub wykraść wrażliwe informacje.
Rekomendacja
Zaleca się aktualizację OctoPrint do wersji 1.11.8 lub 2.0.0rc3, które zawierają poprawkę.
Inne podatności w OctoPrint
Zobacz wszystkie- CVE-2025-58180Wysokie
OctoPrint w wersjach do 1.11.2 włącznie zawiera podatność, która pozwala uwierzytelnionemu atakującemu przesłać plik o specjalnie spreparowanej nazwie, umożliwiając wykonanie dowolnego polecenia, jeśli nazwa pliku zostanie użyta w poleceniu zdefiniowanym w systemowym obsługiwaczu zdarzeń i zdarzenie zostanie wywołane. Podatność nie ma wpływu, jeśli nie skonfigurowano obsługiwaczy zdarzeń wykonujących polecenia systemowe z nazwami przesłanych plików.
- CVE-2026-54134Wysokie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.
Oryginalny opis (angielski, źródło NVD)
OctoPrint provides a web interface for controlling consumer 3D printers. Prior to 1.11.8 and 2.0.0rc3, Suppressed Command notification popups use PNotify rendering for printer-controlled payload.command and payload.message values in src/octoprint/static/js/app/viewmodels/terminal.js without HTML escaping. An attacker who convinces a victim to print a crafted file can inject HTML and JavaScript into the notification, disrupt prints, read information available to the victim including sensitive settings when permitted, or perform actions in the victim's OctoPrint session. This issue is fixed in versions 1.11.8 and 2.0.0rc3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS