CVE-2026-45343
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
LinkAce przed wersją 2.5.6 zawiera podatność na trwały atak XSS, która pozwala użytkownikowi z niskimi uprawnieniami na wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora. Atakujący może ustawić swoją nazwę wyświetlaną OAuth na złośliwy skrypt, a następnie utworzyć token API, co spowoduje umieszczenie trwałego ładunku XSS w dzienniku audytu. Gdy administrator przejdzie do /system/audit, ładunek wykonuje się w kontekście przeglądarki administratora.
Ocena ryzyka
Ryzyko dla organizacji obejmuje kradzież ciasteczek sesyjnych, wyciek tokenów CSRF (ujawnionych w metatagu la-app-data) oraz możliwość wykonania dowolnych działań, które administrator może podjąć w systemie. Może to prowadzić do pełnego przejęcia konta administratora i naruszenia poufności danych.
Rekomendacja
Należy natychmiast zaktualizować LinkAce do wersji 2.5.6 lub nowszej. Dodatkowo warto ograniczyć dostęp do panelu administracyjnego oraz monitorować dzienniki audytu pod kątem podejrzanych wpisów.
Inne podatności w LinkAce
Zobacz wszystkie- CVE-2026-49436Wysokie
LinkAce przed wersją 2.5.7 nie waliduje formatu URL w endpointcie Bulk Link API, co pozwala uwierzytelnionemu użytkownikowi zapisać URI `javascript:`. Zapisany URI jest później renderowany jako `href` w szablonach Blade, a kliknięcie go wykonuje dowolny kod JavaScript w przeglądarce ofiary, umożliwiając kradzież ciasteczek i tokenów sesji. Wersja 2.5.7 naprawia ten problem.
- CVE-2026-45344Wysokie
Podatność w LinkAce przed wersją 2.5.6 pozwala atakującemu na wstrzyknięcie złośliwych zmiennych konfiguracyjnych poczty podczas konfiguracji bazy danych, co prowadzi do zdalnego wykonania kodu przy wysyłaniu wiadomości e-mail.
- CVE-2026-45342Wysokie
LinkAce przed wersją 2.5.6 zawiera podatność Insecure Direct Object Reference (IDOR) w warstwie polityki autoryzacji. Umożliwia ona każdemu uwierzytelnionemu użytkownikowi modyfikację zasobów (linków, list, tagów, notatek) należących do innych użytkowników, zarówno przez interfejs webowy, jak i API REST. Problem wynika z błędnego sprawdzania dostępu w metodach update(), które zezwalają na edycję zasobów o widoczności publicznej lub wewnętrznej, ignorując własność.
Oryginalny opis (angielski, źródło NVD)
LinkAce is a self-hosted archive to collect website links. Prior to 2.5.6, LinkAce contains a stored cross-site scripting vulnerability that allows a low-privilege user to execute arbitrary JavaScript in an administrator's browser session. This affects instances configured with SSO/OAuth authentication, which is one of the supported authentication methods in LinkAce. An attacker who sets their OAuth display name to a malicious script and then creates an API token will plant a persistent XSS payload in the audit log. When any admin navigates to /system/audit, the payload executes in the admin's browser context. This enables session cookie theft, CSRF token exfiltration (exposed in the la-app-data meta tag), or any other action the admin can perform. This vulnerability is fixed in 2.5.6.