CVE-2026-54443
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Dashy w wersjach od 1.9.4 do 3.2.0, widget RSS nie oczyszcza wartości linków z kanałów RSS przed wyświetleniem ich jako atrybutów href w kotwicach. Pozwala to atakującemu na dostarczenie kanału z linkiem javascript:, który po kliknięciu wykonuje kod w kontekście Dashy.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce ofiary w kontekście Dashy, co może prowadzić do kradzieży sesji, modyfikacji dashboardu lub innych działań na koncie użytkownika.
Rekomendacja
Zaleca się natychmiastową aktualizację Dashy do wersji 3.2.0 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w Dashy
Zobacz wszystkie- CVE-2026-46485Wysokie
Dashy przed wersją 4.0.8 zawiera podatność, która pozwala nieuwierzytelnionym użytkownikom lub uwierzytelnionym użytkownikom bez uprawnień administratora na zapisywanie zmian w głównym pliku konfiguracyjnym config.yaml za pomocą funkcji zapisywania konfiguracji, pomimo skonfigurowanych uprawnień. Umożliwia to nieautoryzowaną modyfikację konfiguracji dashboardu i potencjalne zakłócenie działania usługi.
- CVE-2026-55592Niskie
Podatność w Dashy przed wersją 4.3.7 pozwala na wykonanie kodu JavaScript w kontekście pochodzenia aplikacji poprzez przekazanie złośliwego adresu URL w parametrze 'url' widoku workspace. Atakujący może wykorzystać to do kradzieży danych przeglądarki, manipulacji DOM lub wysyłania żądań w imieniu ofiary.
Oryginalny opis (angielski, źródło NVD)
Dashy is a self-hostable personal dashboard. From 1.9.4 until 3.2.0, the Dashy RSS Widget in src/components/Widgets/RssFeed.vue does not sanitize RSS item link values before rendering feed item titles and Read More links as anchor href attributes, allowing an attacker-controlled feed to provide a javascript: URI that executes when clicked in the Dashy origin. This issue is fixed in version 3.2.0.