CVE-2026-35482
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność sandbox escape w alf.io, systemie rezerwacji biletów open source, umożliwia uwierzytelnionemu administratorowi wykonanie dowolnych poleceń systemu operacyjnego na serwerze poprzez mechanizm rozszerzeń.
Ocena ryzyka
Atakujący administrator może całkowicie przejąć serwer, co prowadzi do utraty poufności, integralności i dostępności danych.
Rekomendacja
Zaktualizuj alf.io do wersji 2.0-M5-2606 lub nowszej, która zawiera poprawkę.
Inne podatności w alf.io
Zobacz wszystkie- CVE-2026-50165Wysokie
W alf.io przed wersją 2.0-M5-2605 występuje problem z kontrolą dostępu, który pozwala właścicielowi organizacji na odczyt sekretów konfiguracyjnych na poziomie systemu poprzez endpointy 'single configuration' z zakresu organizacji lub wydarzenia, w tym klucza API systemu.
- CVE-2026-41412Średnie
Podatność w alf.io (system rezerwacji biletów) przed wersją 2.0-M5-2606 polega na tym, że rozszerzenie sandbox wstrzykuje klienta HTTP (`simpleHttpClient`) do skryptów. Metoda `postFileAndSaveResponse()` akceptuje dowolną ścieżkę pliku i odczytuje go bez walidacji, co pozwala złośliwemu skryptowi na odczyt i eksfiltrację dowolnego pliku na serwer atakującego.
Oryginalny opis (angielski, źródło NVD)
alf.io is an open source ticket reservation system for conferences, trade shows, workshops, and meetups. Prior to version 2.0-M5-2606, a sandbox escape vulnerability in the alf.io extension script engine allows an authenticated administrator to execute arbitrary operating system commands on the server. The extension system is intended to execute restricted JavaScript in a sandboxed Rhino environment; however, a combination of an unguarded injected Java object (`returnClass`) and an incomplete AST blocklist allows the sandbox to be fully escaped using Java reflection without triggering any validation errors. Version 2.0-M5-2606 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS