CVE-2026-39039
NieznaneStreszczenie
W BharatMLStack do wersji 1.3.0 włącznie, Trufflebox UI przechowuje token JWT, pełny obiekt użytkownika i identyfikator sesji w localStorage przeglądarki, co jest w pełni dostępne dla każdego JavaScriptu działającego na stronie.
Ocena ryzyka
Wrażliwe dane uwierzytelniające są narażone na kradzież przez złośliwe skrypty, co może prowadzić do przejęcia konta użytkownika.
Rekomendacja
Zmień sposób przechowywania tokenów i danych sesji na bezpieczniejsze (np. ciasteczka HttpOnly) i zaktualizuj BharatMLStack.
Inne podatności w BharatMLStack
Zobacz wszystkie- CVE-2026-39040Nieznane
BharatMLStack do wersji 1.3.0 włącznie jest podatny na Cross Site Scripting (XSS) w komponencie Trufflebox UI (trufflebox-ui) w pliku ExpressionViewModal.jsx.
- CVE-2026-39038Nieznane
BharatMLStack do wersji 1.3.0 włącznie jest podatny na Cross Site Scripting (XSS) w komponencie Trufflebox UI (trufflebox-ui) w pliku GenericNumerixTable.jsx.
Oryginalny opis (angielski, źródło NVD)
In BharatMLStack up to and including v1.3.0, Trufflebox UI stores the JWT authentication token, full user object, and session ID in the browser's localStorage, which is fully accessible to any JavaScript running on the page.