CVE-2026-54050
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Sakai w wersjach od 23.0 do 23.5 oraz 25.3 zawiera podatność, w której uwierzytelniony użytkownik może usunąć obraz profilu innego użytkownika za pomocą punktu końcowego DELETE /api/users/{userId}/profile/image, ponieważ ProfileController.removeProfileImage() przekazuje kontrolowany przez atakującego identyfikator userId do ProfileServiceImpl.removeProfileImage() bez weryfikacji własności. Podobnie punkt końcowy DELETE /api/users/{userId}/profile/pronunciation również pomija walidację sesji i sprawdzenie własności przed usunięciem nagrania wymowy.
Ocena ryzyka
Atakujący może wielokrotnie usuwać artefakty tożsamości profilu, w tym obrazy administratorów i instruktorów, co może zakłócić przepływy pracy zależne od tych artefaktów.
Rekomendacja
Zaleca się aktualizację Sakai do wersji 23.5, 25.3 lub 26.0, które zawierają poprawkę.
Inne podatności w Sakai
Zobacz wszystkie- CVE-2026-54049Wysokie
W Sakai (CLE) w wersjach od 23.0 do przed 23.5 oraz od 25.0 do przed 25.3, narzędzie Conversations przechowuje wiadomości tematów i postów bez sanityzacji HTML, a frontend renderuje je za pomocą dyrektywy unsafeHTML() z LitElement, co powoduje przechowywane XSS. Każdy uwierzytelniony użytkownik z dostępem do witryny z włączonym narzędziem Conversations może wstrzyknąć dowolny HTML i JavaScript, który wykonuje się w przeglądarkach wszystkich innych użytkowników przeglądających dany temat lub post. Problem naprawiono w wersjach 23.5, 25.3 i 26.0.
- CVE-2025-62710Średnie
Sakai, środowisko współpracy i nauki, przed wersjami 23.5 i 25.0, inicjalizuje hasło AES256TextEncryptor (serverSecretKey) za pomocą RandomStringUtils z domyślnym java.util.Random. java.util.Random jest niekryptograficznym PRNG i może być przewidziany z ograniczonej informacji o stanie/seed (np. okno czasu startu), co znacznie zmniejsza przestrzeń poszukiwań wygenerowanego klucza. Atakujący, który może uzyskać ciphertexty (np. eksportowane lub przechowywane dane chronione tym serwisem) i przybliżyć seed PRNG, może odtworzyć serverSecretKey i odszyfrować dotknięte dane. SAK-49866 jest załatany w Sakai 23.5, 25.0 i trunk.
Oryginalny opis (angielski, źródło NVD)
Sakai is a Collaboration and Learning Environment (CLE). From 23.0 until 23.5 and 25.3, the DELETE /api/users/{userId}/profile/image endpoint allows an authenticated user to delete another user's profile image because ProfileController.removeProfileImage() passes the attacker-controlled userId to ProfileServiceImpl.removeProfileImage() without verifying ownership, and profileImageUploadedRepository.deleteById(userId) removes the selected row. The related DELETE /api/users/{userId}/profile/pronunciation endpoint also omits session validation and ownership checks before ProfileServiceImpl.removePronunciationRecording() deletes the target user's recording. The upload path is not affected because it already verifies ownership, and superusers remain intentionally authorized to modify other profiles. Successful exploitation can repeatedly remove profile identity artifacts, including administrator and instructor images, and disrupt workflows that rely on those artifacts. This issue is fixed in versions 23.5, 25.3, and 26.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS