CVE-2026-36728
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Funkcja czatu asystenta AI w FastapiAdmin v2.2.0 zawiera podatność na XSS opartą na Markdown. Atakujący może wstrzyknąć dowolne skrypty lub HTML poprzez wysłanie spreparowanej wiadomości czatu.
Ocena ryzyka
Atakujący może wykonać skrypty w przeglądarce ofiary podczas korzystania z czatu, co może prowadzić do kradzieży sesji lub wycieku danych.
Rekomendacja
Zaktualizuj FastapiAdmin do wersji powyżej 2.2.0. Sanitizuj dane wejściowe w funkcji czatu, szczególnie w przypadku formatowania Markdown.
Inne podatności w FastapiAdmin
Zobacz wszystkie- CVE-2026-36725Średnie
FastapiAdmin w wersji v2.2.0 zawiera podatność na XSS opartą na Markdown w punkcie końcowym /system/notice/create. Atakujący mogą wstrzyknąć złośliwy kod JavaScript lub HTML do parametru notice_content, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-36724Średnie
Nieobsłużony wyjątek w punkcie końcowym /application/job/update/{id} w FastapiAdmin v2.2.0 pozwala uwierzytelnionym atakującym z uprawnieniem module_task:job:update na spowodowanie odmowy usługi (DoS) poprzez manipulowanie polem func zaplanowanych zadań.
Oryginalny opis (angielski, źródło NVD)
A markdown based cross-site scripting (XSS) vulnerability in the AI assistant chat function of FastapiAdmin v2.2.0 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into a chat message.