CVE-2026-55659
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Grist to arkusz kalkulacyjny wykorzystujący Python jako język formuł. Przed wersją 1.7.15 kilka stron renderowanych po stronie serwera osadzało wartości kontrolowane przez użytkownika bez pełnego ich escapowania, co umożliwiało ataki XSS. Na głównej stronie aplikacji nazwa lub opis dokumentu ustawione przez edytora są renderowane na stronie ładowanej przez innych użytkowników. Na stronie końcowej przepływu OAuth2 parametr openerOrigin jest odbijany z powrotem do strony.
Ocena ryzyka
Atakujący może wstrzyknąć skrypt, który wykona się w kontekście sesji ofiary, umożliwiając odczyt i modyfikację danych, zmianę ustawień udostępniania i reguł dostępu. Edytor dokumentu może eskalować swoje uprawnienia do poziomu właściciela.
Rekomendacja
Należy natychmiast zaktualizować Grist do wersji 1.7.15 lub nowszej, która zawiera poprawkę eliminującą podatność na XSS.
Inne podatności w Grist
Zobacz wszystkie- CVE-2026-55665Wysokie
Grist przed wersją 1.7.15 zawierał dwie podatności na ataki XSS, w których wartość kontrolowana przez atakującego trafiała do atrybutu href linku bez walidacji schematu, umożliwiając wykonanie kodu JavaScript w kontekście ofiary po jednym kliknięciu. Na stronie wyboru konta parametr next był używany jako cel linku, a w dokumentacji tabeli GristDocTour kolumna Link_URL stawała się klikalnym przyciskiem, pozwalając edytorowi udostępnionego dokumentu na przechowywanie złośliwego adresu URL.
- CVE-2026-55664Średnie
W Grist przed wersją 1.7.15 punkt końcowy GET /forms odczytywał metadane tabel i kolumn bez stosowania reguł dostępu do dokumentu i nie sprawdzał, czy żądana sekcja jest faktycznie formularzem. Użytkownik z częściowym dostępem do odczytu, w tym dostępem publicznym w publicznie widocznym dokumencie, mógł zażądać metadanych dowolnego widżetu i ujawnić strukturę tabel i kolumn, które reguły dostępu w przeciwnym razie ukrywałyby, nawet w dokumentach niezawierających formularzy.
Oryginalny opis (angielski, źródło NVD)
Grist is spreadsheet software using Python as its formula language. Prior to 1.7.15, several server-rendered Grist pages embedded user-controlled values into the page and into inline scripts without fully escaping them, allowing cross-site scripting. On the main application page, a document's name or description, set by a document editor, is rendered into the page that other users load when opening the document. On the OAuth2 end-of-flow page, the openerOrigin request parameter was reflected back into the served page. Injected script runs in the victim's Grist origin and can act through the authenticated session, reading or modifying data and changing sharing settings and access rules. A document editor could therefore escalate to owner-level access. This issue is fixed in version 1.7.15.