CVE-2026-46485
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Dashy przed wersją 4.0.8 zawiera podatność, która pozwala nieuwierzytelnionym użytkownikom lub uwierzytelnionym użytkownikom bez uprawnień administratora na zapisywanie zmian w głównym pliku konfiguracyjnym config.yaml za pomocą funkcji zapisywania konfiguracji, pomimo skonfigurowanych uprawnień. Umożliwia to nieautoryzowaną modyfikację konfiguracji dashboardu i potencjalne zakłócenie działania usługi.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację konfiguracji dashboardu, co może prowadzić do zakłócenia działania usługi, wycieku danych lub dalszej eskalacji uprawnień w środowisku, w którym Dashy jest wdrożone z OIDC.
Rekomendacja
Należy natychmiast zaktualizować Dashy do wersji 4.0.8 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w Dashy
Zobacz wszystkie- CVE-2026-54443Średnie
W Dashy w wersjach od 1.9.4 do 3.2.0, widget RSS nie oczyszcza wartości linków z kanałów RSS przed wyświetleniem ich jako atrybutów href w kotwicach. Pozwala to atakującemu na dostarczenie kanału z linkiem javascript:, który po kliknięciu wykonuje kod w kontekście Dashy.
- CVE-2026-55592Niskie
Podatność w Dashy przed wersją 4.3.7 pozwala na wykonanie kodu JavaScript w kontekście pochodzenia aplikacji poprzez przekazanie złośliwego adresu URL w parametrze 'url' widoku workspace. Atakujący może wykorzystać to do kradzieży danych przeglądarki, manipulacji DOM lub wysyłania żądań w imieniu ofiary.
Oryginalny opis (angielski, źródło NVD)
Dashy is a self-hostable personal dashboard. Prior to 4.0.8, Dashy deployments using OIDC can allow unauthenticated users or non-admin authenticated users to write changes to the main config.yaml through the config-saving functionality despite configured permissions, allowing unauthorized modification of dashboard configuration and potential service disruption. This issue is fixed in version 4.0.8.