CVE-2026-42156
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Flowsint to narzędzie typu OSINT do eksploracji grafów, które przed wersją 1.2.3 pozwalało zdalnemu atakującemu na stworzenie węzła z złośliwym typem, co mogło prowadzić do ucieczki z istniejącego zapytania Cypher i wykonania dowolnego zapytania Cypher.
Ocena ryzyka
Atakujący mógł wykorzystać tę podatność do wykonania nieautoryzowanych operacji na bazie danych, co stwarza poważne zagrożenie dla integralności danych.
Rekomendacja
Zaleca się aktualizację do wersji 1.2.3 lub nowszej, aby usunąć tę podatność.
Inne podatności w Flowsint
Zobacz wszystkie- CVE-2026-32311Krytyczne
Flowsint to narzędzie do eksploracji grafów OSINT, które umożliwia użytkownikom tworzenie dochodzeń. W wyniku podatności, zdalny atakujący może wywołać transformację 'org_to_asn' na węźle organizacji, co pozwala na wykonanie dowolnych poleceń systemowych jako root na maszynie gospodarza.
- CVE-2026-42159Średnie
Flowsint przed wersją 1.2.3 pozwala atakującemu utworzyć węzeł z opisem zawierającym dowolny kod HTML, który jest renderowany po wybraniu węzła. Może to prowadzić do przechowywanego XSS.
- CVE-2026-44352Średnie
W narzędziu Flowsint przed wersją 1.2.3 występuje błąd kontroli dostępu (Broken Access Control), który pozwala na odczyt logów szkiców (sketch logs) dowolnego użytkownika. Podatność została naprawiona w wersji 1.2.3.
- CVE-2026-42158Niskie
Flowsint to narzędzie OSINT do eksploracji grafów. Przed wersją 1.2.3 przeciwnik znający identyfikator śledztwa mógł zaktualizować metadane śledztwa innego użytkownika. Luka została naprawiona w wersji 1.2.3.
- CVE-2026-42157Średnie
W Flowsint przed wersją 1.2.3 zdalny atakujący może utworzyć węzeł mapy z etykietą zawierającą dowolny kod HTML. Po wybraniu zakładki mapy i kliknięciu znacznika węzła renderowany jest dowolny HTML, co może wywołać podatność stored XSS.
Oryginalny opis (angielski, źródło NVD)
Flowsint is an open-source OSINT graph exploration tool designed for cybersecurity investigation, transparency, and verification. Prior to 1.2.3, a remote attacker can create a node with a malicious type that can escape an existing Cypher query and an adversary can execute an arbitrary Cypher query. This vulnerability is fixed in 1.2.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS