CVE-2026-50190
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Shaarli przed wersją 0.16.3 zawiera podatność na przechowywany XSS w BookmarkListController.php. Handler permalink łączy surowy tytuł zakładki z tytułem strony i emituje go do elementu <title> bez escapowania HTML. Tytuł zakładki zawierający </title><script>...</script> może wykonać skrypt w kontekście Shaarli dla każdego odwiedzającego. Atakujący może nakłonić administratora do zapisania zakładki z złośliwym tytułem, co prowadzi do przejęcia konta administratora.
Ocena ryzyka
Wykonanie skryptu w kontekście Shaarli może prowadzić do kradzieży sesji, przejęcia konta administratora i naruszenia poufności danych.
Rekomendacja
Zaktualizuj Shaarli do wersji 0.16.3, która naprawia tę podatność.
Inne podatności w Shaarli
Zobacz wszystkie- CVE-2026-48823Średnie
Shaarli, osobista usługa zakładek, zawiera podatność typu XSS w funkcjonalności filtrowania tagów w wersjach 0.16.1 i wcześniejszych. Użytkownik z autoryzacją może wstrzyknąć dowolny kod JavaScript do pola tagów podczas tworzenia zakładki, co prowadzi do przechowywania złośliwego ładunku w bazie danych.
- CVE-2026-48822Średnie
Shaarli to osobista usługa zakładek, która w wersjach 0.16.1 i wcześniejszych zawiera podatność typu Cross-Site Scripting (XSS) w procesie konwersji Markdown na HTML w polu opisu zakładki. Użytkownik z autoryzacją może wstrzyknąć złośliwy URI javascript: w linku Markdown.
Oryginalny opis (angielski, źródło NVD)
Shaarli is a personal bookmarking service. Versions prior to 0.16.3 are vulnerable to stored XSS in `application/front/controller/visitor/BookmarkListController.php`. The `permalink` handler concatenates the raw `$bookmark->getTitle()` into the `pagetitle` template variable and the RainTPL template emits it into the document `<title>` element without HTML escaping. A bookmark title containing `</title><script>...</script>` closes the document title early and the injected script executes in the Shaarli origin for any visitor of `/shaare/{hash}`. Shaarli's metadata fetcher copies a remote page's `<title>` text verbatim into the local bookmark title, so an attacker who hosts an attacker-controlled URL and convinces an administrator to bookmark it plants the payload with no further interaction — and the resulting permalink fires for every visitor including the administrator on first save, providing a one-shot administrator account takeover. Version 0.16.3 fixes the issue.