CVE-2026-45806
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w Penpot przed wersją 2.15.0 umożliwiała uwierzytelnionemu edytorowi plików na dostęp do wewnętrznych punktów końcowych poprzez import zdalnego obrazu. Problem wynikał z braku filtrowania docelowego adresu URL w kliencie HTTP używanym do pobierania obrazów.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do skanowania wewnętrznej sieci, uzyskania dostępu do poufnych usług lub przeprowadzenia ataków SSRF, co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Penpot do wersji 2.15.0 lub nowszej, która zawiera poprawkę filtrującą docelowe adresy URL podczas importu zdalnych obrazów.
Inne podatności w Penpot
Zobacz wszystkie- CVE-2026-44986Krytyczne
Podatność w Penpot przed wersją 2.14.5 umożliwiała przejęcie konta poprzez wykorzystanie tokenów zaproszeń, osadzenie identyfikatora profilu oraz brak weryfikacji hasła przy rejestracji sesji na podstawie dopasowania adresu e-mail.
- CVE-2026-47666Wysokie
Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez niestandardowe nazwy rodzin czcionek, które są interpolowane do reguły CSS @font-face i wstrzykiwane do strony jako HTML bez sanityzacji. Atak jest pasywny: każdy członek zespołu, który otworzy plik odwołujący się do złośliwej czcionki, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.
- CVE-2026-47665Wysokie
Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez komentarze do plików, których treść jest przechowywana jako surowy tekst i renderowana na stronie za pomocą innerHTML bez sanityzacji. Atak jest pasywny: każdy użytkownik, który otworzy panel komentarzy na zaatakowanym pliku, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.
- CVE-2026-17613Wysokie
Polecenie RPC ::import-binfile w Penpot nie ma autoryzacji na opcjonalnym parametrze file-id, co pozwala każdemu uwierzytelnionemu użytkownikowi nadpisywać dowolne pliki na serwerze docelowym i subskrybować zdarzenia WebSocket, umożliwiając pełną eksfiltrację danych i zatruwanie danych.
- CVE-2026-45805Wysokie
Penpot przed wersją 2.15.0 zawiera podatność w serwerze ReplServer, który nasłuchiwał na 0.0.0.0:4403 i udostępniał nieuwierzytelniony endpoint /execute. Pozwalało to dowolnej osobie w sieci na zdalne wykonanie kodu JavaScript na serwerze.
Oryginalny opis (angielski, źródło NVD)
Penpot is an open-source design tool for design and code collaboration. Prior to 2.15.0, Penpot's remote image import passed the user-controlled url from frontend/src/app/main/data/workspace/media.cljs into the backend RPC method :create-file-media-object-from-url in backend/src/app/rpc/commands/media.clj, where media/download-image in backend/src/app/media.clj used the shared HTTP client without destination filtering, allowing an authenticated file editor to reach internal-only endpoints. This issue is fixed in version 2.15.0.