CVE-2026-49436
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
LinkAce przed wersją 2.5.7 nie waliduje formatu URL w endpointcie Bulk Link API, co pozwala uwierzytelnionemu użytkownikowi zapisać URI `javascript:`. Zapisany URI jest później renderowany jako `href` w szablonach Blade, a kliknięcie go wykonuje dowolny kod JavaScript w przeglądarce ofiary, umożliwiając kradzież ciasteczek i tokenów sesji. Wersja 2.5.7 naprawia ten problem.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika i wykraść wrażliwe dane, co prowadzi do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Zaktualizuj LinkAce do wersji 2.5.7 lub nowszej, aby wyeliminować podatność.
Inne podatności w LinkAce
Zobacz wszystkie- CVE-2026-45344Wysokie
Podatność w LinkAce przed wersją 2.5.6 pozwala atakującemu na wstrzyknięcie złośliwych zmiennych konfiguracyjnych poczty podczas konfiguracji bazy danych, co prowadzi do zdalnego wykonania kodu przy wysyłaniu wiadomości e-mail.
- CVE-2026-45343Wysokie
LinkAce przed wersją 2.5.6 zawiera podatność na trwały atak XSS, która pozwala użytkownikowi z niskimi uprawnieniami na wykonanie dowolnego kodu JavaScript w sesji przeglądarki administratora. Atakujący może ustawić swoją nazwę wyświetlaną OAuth na złośliwy skrypt, a następnie utworzyć token API, co spowoduje umieszczenie trwałego ładunku XSS w dzienniku audytu. Gdy administrator przejdzie do /system/audit, ładunek wykonuje się w kontekście przeglądarki administratora.
- CVE-2026-45342Wysokie
LinkAce przed wersją 2.5.6 zawiera podatność Insecure Direct Object Reference (IDOR) w warstwie polityki autoryzacji. Umożliwia ona każdemu uwierzytelnionemu użytkownikowi modyfikację zasobów (linków, list, tagów, notatek) należących do innych użytkowników, zarówno przez interfejs webowy, jak i API REST. Problem wynika z błędnego sprawdzania dostępu w metodach update(), które zezwalają na edycję zasobów o widoczności publicznej lub wewnętrznej, ignorując własność.
Oryginalny opis (angielski, źródło NVD)
LinkAce is a self-hosted archive to collect website links. Prior to version 2.5.7, the Bulk Link API endpoint (`POST /api/v2/bulk/links`) accepts URLs without any format validation, allowing an authenticated user to store a `javascript:` URI. The stored URI is later rendered verbatim as an `href` in Blade templates, and clicking it executes arbitrary JavaScript in the victim's browser — exfiltrating cookies and session tokens. Version 2.5.7 fixes the issue.