CVE-2026-47665
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez komentarze do plików, których treść jest przechowywana jako surowy tekst i renderowana na stronie za pomocą innerHTML bez sanityzacji. Atak jest pasywny: każdy użytkownik, który otworzy panel komentarzy na zaatakowanym pliku, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników i wykonywać działania w ich imieniu, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj Penpot do wersji 2.15.3 lub nowszej.
Inne podatności w Penpot
Zobacz wszystkie- CVE-2026-44986Krytyczne
Podatność w Penpot przed wersją 2.14.5 umożliwiała przejęcie konta poprzez wykorzystanie tokenów zaproszeń, osadzenie identyfikatora profilu oraz brak weryfikacji hasła przy rejestracji sesji na podstawie dopasowania adresu e-mail.
- CVE-2026-47666Wysokie
Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez niestandardowe nazwy rodzin czcionek, które są interpolowane do reguły CSS @font-face i wstrzykiwane do strony jako HTML bez sanityzacji. Atak jest pasywny: każdy członek zespołu, który otworzy plik odwołujący się do złośliwej czcionki, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.
- CVE-2026-17613Wysokie
Polecenie RPC ::import-binfile w Penpot nie ma autoryzacji na opcjonalnym parametrze file-id, co pozwala każdemu uwierzytelnionemu użytkownikowi nadpisywać dowolne pliki na serwerze docelowym i subskrybować zdarzenia WebSocket, umożliwiając pełną eksfiltrację danych i zatruwanie danych.
- CVE-2026-45806Wysokie
Podatność w Penpot przed wersją 2.15.0 umożliwiała uwierzytelnionemu edytorowi plików na dostęp do wewnętrznych punktów końcowych poprzez import zdalnego obrazu. Problem wynikał z braku filtrowania docelowego adresu URL w kliencie HTTP używanym do pobierania obrazów.
- CVE-2026-45805Wysokie
Penpot przed wersją 2.15.0 zawiera podatność w serwerze ReplServer, który nasłuchiwał na 0.0.0.0:4403 i udostępniał nieuwierzytelniony endpoint /execute. Pozwalało to dowolnej osobie w sieci na zdalne wykonanie kodu JavaScript na serwerze.
Oryginalny opis (angielski, źródło NVD)
Penpot is an open-source design and prototyping platform. In versions up to and including 2.14.3, Penpot is vulnerable to stored cross-site scripting through file comments, whose content is stored as raw text and rendered into the page with innerHTML without any sanitization. Because the backend applies only a length check and the frontend writes comment content directly through innerHTML, any team member who can comment on a shared file can embed HTML such as an image error handler or script that executes in the browser of every other collaborator. The attack is passive: any user who opens the comments panel on the affected file triggers script execution on the Penpot origin, allowing theft of session cookies, actions performed as the victim, and access to their files and projects. This issue is fixed in version 2.15.3.