CVE-2026-55875

ŚrednieCVSS 4.3

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Helium przed wersją 2.2.60 pozwala uwierzytelnionemu użytkownikowi na przesłanie dowolnego URL do POST /feed/externalcalendars/. Serwer używa validate_url tylko do sprawdzenia składni, a następnie pobiera URL przez urllib.request.urlopen, co umożliwia wymuszone żądania wychodzące i rozpoznanie wewnętrznych usług.

Ocena ryzyka

Osoba atakująca może skanować wewnętrzną sieć i uzyskać informacje o dostępności hostów i portów, co ułatwia dalsze ataki.

Rekomendacja

Zaktualizuj Helium do wersji 2.2.60 lub nowszej, która naprawia podatność.

Inne podatności w Helium

CVE-2026-55876Niskie
Helium to darmowy internetowy planer dla uczniów. W wersjach przed 2.2.60 endpoint POST /planner/attachments/ pozwala uwierzytelnionym użytkownikom przesyłać załączniki SVG i HTML, ponieważ conf/configs/common.py pomija te formaty w BLOCKED_ATTACHMENT_EXTENSIONS i BLOCKED_ATTACHMENT_MIME_TYPES, a helium/planner/serializers/attachmentserializer.py opiera się na tych listach blokujących. Przesłany SVG serwowany jako image/svg+xml może wykonać osadzony skrypt, gdy odwiedzający otworzy publiczny URL załącznika, umożliwiając trwałą aktywną treść kontrolowaną przez atakującego i phishing pod adresem URL zarządzanym przez aplikację. Przechowywanie załączników używa oddzielnego origin niż aplikacja, więc polityka same-origin uniemożliwia skryptowi odczyt ciasteczek lub pamięci aplikacji, a przejęcie sesji aplikacji nie jest wspierane przez utrzymywaną konfigurację wdrożenia. Naprawiono w wersji 2.2.60.

Oryginalny opis (angielski, źródło NVD)

Helium is a free online student planner for classes, homework, grades, and notes. Prior to 2.2.60, any authenticated user can submit an arbitrary URL to POST /feed/externalcalendars/, where helium/feed/services/icalexternalcalendarservice.py uses validate_url to check only URL syntax before passing the value to urllib.request.urlopen, and fetch_ical_conditional periodically refetches the stored URL. The server can therefore issue requests to attacker-selected external or internal hosts, while distinct responses, including an uncaught http.client.RemoteDisconnected condition for non-HTTP services, reveal internal host and port reachability. The supported impact is forced outbound requests and internal service reconnaissance; the advisory does not demonstrate secret retrieval because the relevant ECS credentials path is task-specific and unpredictable. This issue is fixed in version 2.2.60.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS