CVE-2026-54219
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
UBB.threads jest podatny na przechowywane XSS poprzez posty użytkowników oraz pola profilu użytkownika. Aplikacja nieprawidłowo oczyszcza dane wejściowe, co pozwala atakującym o niskich uprawnieniach na wstrzykiwanie dowolnego kodu JavaScript, który wykonuje się w przeglądarce ofiary po jej wyświetleniu.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do kradzieży danych użytkowników lub przejęcia sesji, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji UBB.threads oraz wdrożenie dodatkowych mechanizmów sanitizacji danych wejściowych użytkowników.
Inne podatności w UBB.threads
Zobacz wszystkie- CVE-2026-54224Wysokie
UBB.threads jest podatny na atak typu Denial of Service (DoS). Autoryzowany atakujący może wysłać wiele równoczesnych żądań do przeglądania profilu użytkownika, co prowadzi do wyczerpania zasobów bazy danych i całkowitego zablokowania dostępu do aplikacji dla innych użytkowników.
- CVE-2026-54223Wysokie
UBB.threads jest podatny na atak typu Path traversal, co pozwala atakującym z uprawnieniami do edytowania szablonów na odczyt i zapis dowolnych plików na serwerze aplikacji, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-54222Wysokie
UBB.threads jest podatny na ślepą injekcję SQL, co pozwala atakującym z dostępem do panelu sterowania członków na interakcję z bazą danych. Z powodu niewystarczającej sanitizacji danych wejściowych, atakujący może wydobyć wrażliwe informacje, takie jak dane logowania użytkowników.
- CVE-2026-54221Średnie
UBB.threads jest podatny na atak typu Reflected XSS. Aplikacja niewłaściwie obsługuje dane wejściowe użytkownika w niektórych żądaniach, co pozwala atakującym na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary.
- CVE-2026-54220Wysokie
uBB.threads jest podatny na atak typu Cross-Site Request Forgery (CSRF) z powodu braku mechanizmów ochronnych. Atakujący może oszukać uwierzytelnionego użytkownika, zmuszając go do wykonania niezamierzonych działań.
Oryginalny opis (angielski, źródło NVD)
UBB.threads is vulnerable to Stored XSS via user posts and user profile fields. The application fails to properly sanitize user input, allowing low privileged attackers to inject arbitrary JavaScript that executes in a victim's browser upon viewing. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version 7.7.5 but may also affect other versions.