CVE-2026-42615
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
GCHQ CyberChef przed wersją 11.0.0 zawiera podatność na XSS poprzez funkcję Show Base64 offsets, co umożliwia wstrzyknięcie skryptów.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaleca się aktualizację CyberChef do wersji 11.0.0 lub nowszej.
Inne podatności w CyberChef
Zobacz wszystkie- CVE-2026-72912Średnie
CyberChef przed wersją 11.3.0 ma podatność na wyczerpanie CPU po stronie klienta w parserze pretty-recipe w src/core/Utils.mjs, gdy złośliwy fragment URL #recipe= z dużą liczbą niepasujących znaków cudzysłowu trafi do Utils.parseRecipeConfig(). Funkcja synchronicznie stosuje złożone wyrażenie regularne, które może wykonać ciężkie cofanie, powodując zawieszenie karty przeglądarki na sekundy lub dłużej. Nie ma wykonania kodu, eksfiltracji danych ani eskalacji uprawnień.
- CVE-2026-57439Średnie
CyberChef przed wersją 11.2.0 zawiera podatność na zanieczyszczenie prototypu przez operację Series Chart, która akceptuje klucz __proto__ podczas parsowania CSV dostarczonego przez użytkownika. Może to być wykorzystane w połączeniu z innymi operacjami, takimi jak Parse UDP, do wstrzyknięcia złośliwego JavaScriptu do wyjścia HTML.
Oryginalny opis (angielski, źródło NVD)
GCHQ CyberChef before 11.0.0 allows XSS via Show Base64 offsets, as demonstrated by the /#recipe=Show_Base64_offsets('%3Cscript substring.