CVE-2026-47666
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez niestandardowe nazwy rodzin czcionek, które są interpolowane do reguły CSS @font-face i wstrzykiwane do strony jako HTML bez sanityzacji. Atak jest pasywny: każdy członek zespołu, który otworzy plik odwołujący się do złośliwej czcionki, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników i wykonywać działania w ich imieniu, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaktualizuj Penpot do wersji 2.15.3 lub nowszej.
Inne podatności w Penpot
Zobacz wszystkie- CVE-2026-44986Krytyczne
Podatność w Penpot przed wersją 2.14.5 umożliwiała przejęcie konta poprzez wykorzystanie tokenów zaproszeń, osadzenie identyfikatora profilu oraz brak weryfikacji hasła przy rejestracji sesji na podstawie dopasowania adresu e-mail.
- CVE-2026-47665Wysokie
Penpot w wersjach do 2.14.3 jest podatny na trwały cross-site scripting (XSS) przez komentarze do plików, których treść jest przechowywana jako surowy tekst i renderowana na stronie za pomocą innerHTML bez sanityzacji. Atak jest pasywny: każdy użytkownik, który otworzy panel komentarzy na zaatakowanym pliku, uruchomi skrypt, co może prowadzić do kradzieży ciasteczek sesji i dostępu do plików.
- CVE-2026-17613Wysokie
Polecenie RPC ::import-binfile w Penpot nie ma autoryzacji na opcjonalnym parametrze file-id, co pozwala każdemu uwierzytelnionemu użytkownikowi nadpisywać dowolne pliki na serwerze docelowym i subskrybować zdarzenia WebSocket, umożliwiając pełną eksfiltrację danych i zatruwanie danych.
- CVE-2026-45806Wysokie
Podatność w Penpot przed wersją 2.15.0 umożliwiała uwierzytelnionemu edytorowi plików na dostęp do wewnętrznych punktów końcowych poprzez import zdalnego obrazu. Problem wynikał z braku filtrowania docelowego adresu URL w kliencie HTTP używanym do pobierania obrazów.
- CVE-2026-45805Wysokie
Penpot przed wersją 2.15.0 zawiera podatność w serwerze ReplServer, który nasłuchiwał na 0.0.0.0:4403 i udostępniał nieuwierzytelniony endpoint /execute. Pozwalało to dowolnej osobie w sieci na zdalne wykonanie kodu JavaScript na serwerze.
Oryginalny opis (angielski, źródło NVD)
Penpot is an open-source design and prototyping platform. In versions up to and including 2.14.3, Penpot is vulnerable to stored cross-site scripting through custom font family names, which are interpolated into a @font-face CSS rule and injected into the page as HTML without sanitization. Because the backend accepts an arbitrary font-family string and the frontend writes the resulting style through innerHTML, a name containing markup such as a closing style tag followed by a script can break out of the style element and execute JavaScript on the Penpot origin. The attack is passive: any team member who opens a file referencing the malicious font triggers script execution simply by rendering the page, allowing theft of session cookies, actions performed as the victim, and access to their files and projects. This issue is fixed in version 2.15.3.