CVE-2026-36163
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność HTML injection w punkcie końcowym przeglądania plików w LiquidFiles v4.2.7 umożliwia uwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez przesłanie i interakcję z spreparowanym plikiem HTML.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przechwycenia danych uwierzytelniających lub wykonania innych szkodliwych działań w imieniu ofiary, co może prowadzić do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację LiquidFiles do najnowszej wersji, która usuwa tę podatność, oraz wdrożenie mechanizmów filtrowania i sanityzacji przesyłanych plików HTML.
Inne podatności w LiquidFiles
Zobacz wszystkie- CVE-2026-36162Średnie
W aplikacji LiquidFiles w wersji 4.2.7 wykryto podatność na trwały atak XSS w API do przesyłania plików. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru Name, który zostanie wykonany w przeglądarkach innych użytkowników.
- CVE-2026-12673Średnie
Wersje Liquidfiles przed 4.2.12 są podatne na lukę w kontroli dostępu, która umożliwia eskalację uprawnień z poziomu Administratora w drugorzędnej domenie do poziomu Sysadmina poprzez modyfikację grupy w ich zarządzanej drugorzędnej grupie.
Oryginalny opis (angielski, źródło NVD)
An HTML injection vulnerability in the file view endpoint of LiquidFiles v4.2.7 allows authenticated attackers to execute arbitrary JavaScript in the context of the victim's browser via the uploading of and user interaction with a crafted HTML file.