CVE-2026-36162
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W aplikacji LiquidFiles w wersji 4.2.7 wykryto podatność na trwały atak XSS w API do przesyłania plików. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru Name, który zostanie wykonany w przeglądarkach innych użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia kont użytkowników lub wykonania nieautoryzowanych działań w kontekście ich sesji. Może to prowadzić do wycieku poufnych danych i naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować LiquidFiles do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do API tylko dla zaufanych użytkowników oraz walidację danych wejściowych po stronie serwera.
Inne podatności w LiquidFiles
Zobacz wszystkie- CVE-2026-36163Średnie
Podatność HTML injection w punkcie końcowym przeglądania plików w LiquidFiles v4.2.7 umożliwia uwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez przesłanie i interakcję z spreparowanym plikiem HTML.
- CVE-2026-12673Średnie
Wersje Liquidfiles przed 4.2.12 są podatne na lukę w kontroli dostępu, która umożliwia eskalację uprawnień z poziomu Administratora w drugorzędnej domenie do poziomu Sysadmina poprzez modyfikację grupy w ich zarządzanej drugorzędnej grupie.
Oryginalny opis (angielski, źródło NVD)
An authenticated stored cross-site scripting (XSS) vulnerability in the Upload File Shares API of LiquidFiles v4.2.7 allows attackers to execute arbitrary Javascript or HTML via injecting a crafted payload into the Name parameter.