CVE-2026-43939

Wysokie

Opublikowano: 12/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

YetAnotherForum.NET (YAF.NET) przed wersjami 4.0.5 i 3.2.12 ma lukę, która pozwala na wstrzykiwanie niebezpiecznego kodu HTML przez użytkowników w postach i odpowiedziach. Treści te są przechowywane na serwerze i wyświetlane na stronie wątku bez odpowiedniej sanitizacji HTML.

Ocena ryzyka

Brak odpowiedniej sanitizacji może prowadzić do ataków XSS, co zagraża bezpieczeństwu danych użytkowników oraz integralności forum. Organizacje mogą być narażone na utratę zaufania użytkowników oraz potencjalne konsekwencje prawne.

Rekomendacja

Zaleca się aktualizację do wersji 4.0.5 lub 3.2.12, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy sanitizacji danych wejściowych.

Inne podatności w YetAnotherForum.NET (YAF.NET)

CVE-2026-43937Wysokie
W YetAnotherForum.NET (YAF.NET) przed wersją 4.0.5 występuje podatność, która pozwala na wykonanie dowolnego SQL przez użytkowników o niskich uprawnieniach. Problem dotyczy obsługi OnPost… w admin panelu, gdzie brak jest odpowiednich kontroli dla zapytań SQL.

Oryginalny opis (angielski, źródło NVD)

YetAnotherForum.NET (YAF.NET) is a C# ASP.NET forum. Prior to 4.0.5 and 3.2.12, the thread posting and reply feature accepts user-supplied content via a a post or reply that is stored server-side and later rendered back into the thread page without adequate HTML sanitization or contextual output encoding. This vulnerability is fixed in 4.0.5 and 3.2.12.