CVE-2026-38934
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W oprogramowaniu diskover-community w wersji 2.3.5 i wcześniejszych wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF). Luka umożliwia zdalnemu atakującemu eskalację uprawnień oraz uzyskanie wrażliwych informacji poprzez plik public/settings_process.php.
Ocena ryzyka
Atakujący może wykorzystać CSRF do wykonania nieautoryzowanych operacji w kontekście zalogowanego administratora, co prowadzi do przejęcia kontroli nad konfiguracją i wycieku poufnych danych organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować diskover-community do wersji nowszej niż 2.3.5 oraz wdrożyć mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF w formularzach.
Inne podatności w diskover-community
Zobacz wszystkie- CVE-2026-38936Średnie
W aplikacji diskover-community w wersji 2.3.5 i wcześniejszych wykryto podatność na odbity atak XSS. Luka występuje w pliku public/selectindices.php poprzez parametr namecontains.
- CVE-2026-38935Średnie
W aplikacji diskover-community w wersji 2.3.5 i wcześniejszych odkryto podatność na odbity atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez parametr doctype w pliku public/view.php.
Oryginalny opis (angielski, źródło NVD)
Cross Site Request Forgery vulnerability in diskoverdata diskover-community v.2.3.5. and before allows a remote attacker to escalate privileges and obtain sensitive information via the public/settings_process.php