CVE-2026-54049
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W Sakai (CLE) w wersjach od 23.0 do przed 23.5 oraz od 25.0 do przed 25.3, narzędzie Conversations przechowuje wiadomości tematów i postów bez sanityzacji HTML, a frontend renderuje je za pomocą dyrektywy unsafeHTML() z LitElement, co powoduje przechowywane XSS. Każdy uwierzytelniony użytkownik z dostępem do witryny z włączonym narzędziem Conversations może wstrzyknąć dowolny HTML i JavaScript, który wykonuje się w przeglądarkach wszystkich innych użytkowników przeglądających dany temat lub post. Problem naprawiono w wersjach 23.5, 25.3 i 26.0.
Ocena ryzyka
Atakujący może wykonywać skrypty w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, wycieku danych lub rozprzestrzeniania złośliwej treści w środowisku edukacyjnym.
Rekomendacja
Zaktualizuj Sakai do wersji 23.5, 25.3 lub 26.0. Dodatkowo rozważ wyłączenie narzędzia Conversations, dopóki nie zostanie zastosowana poprawka.
Inne podatności w Sakai
Zobacz wszystkie- CVE-2026-54050Średnie
Sakai w wersjach od 23.0 do 23.5 oraz 25.3 zawiera podatność, w której uwierzytelniony użytkownik może usunąć obraz profilu innego użytkownika za pomocą punktu końcowego DELETE /api/users/{userId}/profile/image, ponieważ ProfileController.removeProfileImage() przekazuje kontrolowany przez atakującego identyfikator userId do ProfileServiceImpl.removeProfileImage() bez weryfikacji własności. Podobnie punkt końcowy DELETE /api/users/{userId}/profile/pronunciation również pomija walidację sesji i sprawdzenie własności przed usunięciem nagrania wymowy.
- CVE-2025-62710Średnie
Sakai, środowisko współpracy i nauki, przed wersjami 23.5 i 25.0, inicjalizuje hasło AES256TextEncryptor (serverSecretKey) za pomocą RandomStringUtils z domyślnym java.util.Random. java.util.Random jest niekryptograficznym PRNG i może być przewidziany z ograniczonej informacji o stanie/seed (np. okno czasu startu), co znacznie zmniejsza przestrzeń poszukiwań wygenerowanego klucza. Atakujący, który może uzyskać ciphertexty (np. eksportowane lub przechowywane dane chronione tym serwisem) i przybliżyć seed PRNG, może odtworzyć serverSecretKey i odszyfrować dotknięte dane. SAK-49866 jest załatany w Sakai 23.5, 25.0 i trunk.
Oryginalny opis (angielski, źródło NVD)
Sakai is a Collaboration and Learning Environment (CLE). From versions 23.0 to before 23.5, and versions 25.0 to before 25.3, the Sakai Conversations tool stores topic and post messages without HTML sanitization, and the frontend renders them using LitElement's unsafeHTML() directive, resulting in stored cross-site scripting (XSS). Any authenticated user with access to a site that has the Conversations tool enabled can inject arbitrary HTML and JavaScript that executes in the browsers of all other users who view that topic or post. This issue has been patched in versions 23.5, 25.3, and 26.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS