CVE-2026-44668
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W FACTION przed wersją 1.8.3, AccessControlInterceptor nie sprawdza ważności sesji przed wywołaniem akcji Struts2. Cztery metody akcji w BoilerPlateConfig również nie weryfikują sesji, co pozwala nieuwierzytelnionemu atakującemu na odczyt, nadpisanie, dezaktywację i trwałe usunięcie dowolnego szablonu boilerplate w systemie.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wrażliwych szablonów raportów, ich modyfikację lub usunięcie, co może prowadzić do utraty danych i naruszenia integralności procesów pentesterskich.
Rekomendacja
Należy natychmiast zaktualizować FACTION do wersji 1.8.3 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w FACTION
Zobacz wszystkie- CVE-2025-66022Krytyczne
FACTION (framework do generowania raportów z testów penetracyjnych) przed wersją 1.7.1 pozwala na wykonanie dowolnego kodu na serwerze poprzez ścieżkę wykonania rozszerzeń. Brak uwierzytelnienia na endpointcie `/portal/AppStoreDashboard` umożliwia nieuwierzytelnionemu atakującemu przesłanie złośliwego rozszerzenia, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-44669Wysokie
FACTION to framework do generowania raportów z testów penetracyjnych i współpracy. Przed wersją 1.8.3 istnieje podatność na przechowywany XSS poprzez nazwy plików załączników w przepływie podglądu plików oceny. Wartości nazw plików dostarczone przez użytkownika są przechowywane i później renderowane w kontekście HTML/atrybutów bez kodowania wyjścia, co pozwala na wykonanie JavaScript w przeglądarce każdego użytkownika przeglądającego stronę. Ponieważ ładunek jest przechowywany po stronie serwera i renderowany innym użytkownikom, eksploatacja jest trwała i może wpłynąć na konta uprzywilejowane.
- CVE-2026-44667Wysokie
FACTION przed wersją 1.8.3 zawiera podatność na trwały atak XSS poprzez nazwy plików załączników w przepływie podglądu plików weryfikacji poprawek. Wprowadzone przez użytkownika nazwy plików są przechowywane i renderowane w kontekście HTML i atrybutów bez kodowania wyjścia, co pozwala na wykonanie kontrolowanego przez atakującego JavaScript w przeglądarce każdego użytkownika otwierającego dotknięte widoki weryfikacji/poprawek.
Oryginalny opis (angielski, źródło NVD)
FACTION is a PenTesting Report Generation and Collaboration Framework. Prior to 1.8.3, AccessControlInterceptor, the authentication gate for all Struts2 actions, unconditionally calls invocation.invoke() without checking for a valid session. Four action methods in BoilerPlateConfig perform no local session check either, allowing an unauthenticated attacker to read, overwrite, deactivate, and permanently delete any boilerplate template in the system. This vulnerability is fixed in 1.8.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS