CVE-2026-44259
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W efw4.X przed 4.08.010 serwlet previewServlet udostępnia pliki z wykrytym typem MIME na podstawie rozszerzenia, bez sanityzacji treści i nagłówków bezpieczeństwa. Pliki .html, .htm i .svg są serwowane jako text/html lub image/svg+xml, co powoduje wykonanie osadzonego JavaScriptu w przeglądarce ofiary w kontekście domeny aplikacji.
Ocena ryzyka
Atakujący może dostarczyć złośliwy plik, który po otwarciu wykona JavaScript w kontekście aplikacji, prowadząc do XSS. Może to skutkować kradzieżą danych sesji lub przejęciem konta.
Rekomendacja
Zaktualizuj efw4.X do wersji 4.08.010 lub nowszej. Rozważ wymuszenie nagłówka Content-Disposition: attachment dla serwowanych plików.
Inne podatności w efw4.X
Zobacz wszystkie- CVE-2026-44258Krytyczne
W wersjach przed 4.08.010, funkcja elfinder_checkRisk w efw4.X nie weryfikuje parametru dst używanego przez elfinder_paste, co pozwala atakującemu na kopiowanie lub przenoszenie plików z katalogu domowego do dowolnej lokalizacji poprzez ustawienie dst na zakodowaną w base64 ścieżkę przejścia.
- CVE-2026-44257Krytyczne
W efw4.X przed wersją 4.08.010, metoda efw.file.FileManager.unZip nie sprawdzała ścieżki kanonicznej przy zapisywaniu wpisów zip na dysku, co pozwalało na wyjście poza zamierzony katalog. Atakujący mógł wykorzystać tę lukę do umieszczenia złośliwego pliku JSP i wykonywania dowolnych poleceń jako użytkownik Tomcat.
- CVE-2026-44260Wysokie
W wersjach przed 4.08.010 frameworka efw4.X, flaga readonly ustawiona na tagu JSP <efw:elFinder> miała na celu zapobieganie modyfikacjom plików. Mimo to, brak odpowiednich kontrolerów zdarzeń pozwala atakującym na wykonywanie operacji zapisu, omijając interfejs użytkownika.
Oryginalny opis (angielski, źródło NVD)
efw4.X is an Enterprise Framework for Web. Prior to 4.08.010, the previewServlet serves files with their detected MIME type based on file extension, without any content sanitization or security headers. Files with .html, .htm, or .svg extensions are served as text/html or image/svg+xml respectively, causing any embedded JavaScript to execute in the victim's browser within the application's origin. This vulnerability is fixed in 4.08.010.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS