CVE-2026-40041
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Pachno 1.0.6 zawiera podatność CSRF, która pozwala atakującym wykonywać dowolne akcje w kontekście uwierzytelnionego użytkownika poprzez wykorzystanie braku ochrony CSRF na endpointach zmieniających stan. Atakujący mogą tworzyć złośliwe żądania dotyczące logowania, rejestracji, przesyłania plików, edycji kamieni milowych i funkcji administracyjnych.
Ocena ryzyka
Uwierzytelniony użytkownik odwiedzający złośliwą stronę może zostać zmuszony do wylogowania, utworzenia konta, modyfikacji ról, dodania komentarzy lub przesłania plików, co narusza integralność i poufność systemu.
Rekomendacja
Zaktualizuj Pachno do wersji zawierającej poprawki CSRF lub wdróż dodatkowe mechanizmy walidacji tokenów na endpointach zmieniających stan.
Inne podatności w Pachno
Zobacz wszystkie- CVE-2026-40043Średnie
Pachno 1.0.6 zawiera podatność polegającą na obejściu uwierzytelniania w akcji runSwitchUser(), która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na eskalację uprawnień poprzez manipulację ciasteczkiem original_username. Atakujący może ustawić kontrolowane przez klienta ciasteczko original_username na dowolną wartość i zażądać przełączenia na użytkownika o ID 1, aby uzyskać tokeny sesji lub hashe haseł kont administratorów.
- CVE-2026-40039Średnie
Pachno 1.0.6 zawiera podatność otwartego przekierowania, która pozwala atakującym przekierować użytkowników na dowolne zewnętrzne witryny poprzez manipulację parametrem return_to. Atakujący mogą tworzyć złośliwe adresy logowania z niezwalidowanymi wartościami return_to, aby prowadzić ataki phishingowe i wykradać dane uwierzytelniające.
Oryginalny opis (angielski, źródło NVD)
Pachno 1.0.6 contains a cross-site request forgery vulnerability that allows attackers to perform arbitrary actions in authenticated user context by exploiting missing CSRF protections on state-changing endpoints. Attackers can craft malicious requests targeting login, registration, file upload, milestone editing, and administrative functions to force logout, create accounts, modify roles, inject comments, or upload files when authenticated users visit attacker-controlled websites.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS