CVE-2026-48053
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Kolibri to platforma edukacyjna działająca w trybie offline. Przed wersją 0.19.4 kilka punktów końcowych API Kolibri akceptuje niezweryfikowany parametr `baseurl` i pobiera adresy URL kontrolowane przez atakującego z serwera Kolibri, odzwierciedlając treść odpowiedzi z powrotem do wywołującego. Oryginalny raport zidentyfikował dwa punkty końcowe w widokach `RemoteFacilityUser*`; podczas przeglądu naprawy znaleziono dwa kolejne punkty odbicia w tym samym wzorcu. Punkt końcowy GET był nieuwierzytelniony. Wersja 0.19.4 naprawia tę podatność.
Ocena ryzyka
Atakujący może wykorzystać nieuwierzytelniony punkt końcowy do odczytu wrażliwych danych lub przeprowadzenia ataków typu SSRF, co może prowadzić do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Kolibri do wersji 0.19.4 lub nowszej, aby wyeliminować podatność.
Inne podatności w Kolibri
Zobacz wszystkie- CVE-2014-4158Wysokie
W Kolibri 2.0 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długi URI w żądaniu GET.
- CVE-2010-5301Wysokie
W Kolibri 2.0 występuje przepełnienie bufora na stosie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez długi URI w żądaniu HEAD.
Oryginalny opis (angielski, źródło NVD)
Kolibri is an offline-first education platform. Prior to version 0.19.4, several Kolibri API endpoints accept an unvalidated `baseurl` parameter and fetch attacker-controlled URLs from the Kolibri server, reflecting the response body back to the caller. The original report identified two endpoints on the `RemoteFacilityUser*` viewsets; remediation review found two further reflection points on the same pattern. The GET endpoint was unauthenticated. Version 0.19.4 fixes the vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS