CVE-2026-39915

WysokieCVSS 8.1

Opublikowano: 24/08/2026(UTC)Zaktualizowano: 24/08/2026(UTC)Przetłumaczono: 24/08/2026(UTC)NVD NIST

Streszczenie

TIM Flow przed wersją 26.0.6 zawiera podatność na wstrzykiwanie CRLF, która pozwala zdalnym atakującym na wstrzykiwanie dowolnych nagłówków HTTP i treści odpowiedzi poprzez osadzenie niesanitizowanych sekwencji powrotu karetki i nowej linii w parametrze URL rt, który jest odzwierciedlany w nagłówkach odpowiedzi Set-Cookie. Atakujący mogą tworzyć złośliwe żądania, aby nakłonić uwierzytelnionych użytkowników do wykonania dowolnego JavaScript w ich przeglądarce, co umożliwia kradzież tokena sesji i modyfikację danych uwierzytelniających.

Ocena ryzyka

Wstrzykiwanie CRLF może prowadzić do przejęcia sesji użytkownika, kradzieży danych uwierzytelniających i modyfikacji kont, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i danych użytkowników.

Rekomendacja

Zaktualizuj TIM Flow do wersji 26.0.6 lub nowszej, która zawiera poprawkę neutralizującą sekwencje CRLF w parametrze rt.

Inne podatności w TIM Flow

CVE-2026-39914Średnie
Podatność w zakresie nieprawidłowej autoryzacji w TIM Flow przed wersją 26.0.6, która pozwala każdemu uwierzytelnionemu użytkownikowi na wysyłanie dowolnych zapytań SQL do uprzywilejowanego punktu końcowego eksportu arkuszy kalkulacyjnych przeznaczonego wyłącznie do celów administracyjnych.

Oryginalny opis (angielski, źródło NVD)

TIM Flow before 26.0.6 contains a CRLF injection vulnerability that allows remote attackers to inject arbitrary HTTP headers and response body content by embedding unsanitized carriage return and line feed sequences in the rt URL parameter, which is reflected into Set-Cookie response headers. Attackers can craft malicious requests to induce authenticated users to execute arbitrary JavaScript in their browser context, enabling session token theft and account credential modification.