CVE-2026-55876

NiskieCVSS 3.5

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Helium to darmowy internetowy planer dla uczniów. W wersjach przed 2.2.60 endpoint POST /planner/attachments/ pozwala uwierzytelnionym użytkownikom przesyłać załączniki SVG i HTML, ponieważ conf/configs/common.py pomija te formaty w BLOCKED_ATTACHMENT_EXTENSIONS i BLOCKED_ATTACHMENT_MIME_TYPES, a helium/planner/serializers/attachmentserializer.py opiera się na tych listach blokujących. Przesłany SVG serwowany jako image/svg+xml może wykonać osadzony skrypt, gdy odwiedzający otworzy publiczny URL załącznika, umożliwiając trwałą aktywną treść kontrolowaną przez atakującego i phishing pod adresem URL zarządzanym przez aplikację. Przechowywanie załączników używa oddzielnego origin niż aplikacja, więc polityka same-origin uniemożliwia skryptowi odczyt ciasteczek lub pamięci aplikacji, a przejęcie sesji aplikacji nie jest wspierane przez utrzymywaną konfigurację wdrożenia. Naprawiono w wersji 2.2.60.

Ocena ryzyka

Atakujący może hostować złośliwą aktywną treść pod zaufanym adresem URL aplikacji, co może być wykorzystane do phishingu lub rozprzestrzeniania złośliwego oprogramowania wśród użytkowników.

Rekomendacja

Zaktualizuj Helium do wersji 2.2.60 lub nowszej, która naprawia tę podatność.

Inne podatności w Helium

CVE-2026-55875Średnie
Helium przed wersją 2.2.60 pozwala uwierzytelnionemu użytkownikowi na przesłanie dowolnego URL do POST /feed/externalcalendars/. Serwer używa validate_url tylko do sprawdzenia składni, a następnie pobiera URL przez urllib.request.urlopen, co umożliwia wymuszone żądania wychodzące i rozpoznanie wewnętrznych usług.

Oryginalny opis (angielski, źródło NVD)

Helium is a free online student planner for classes, homework, grades, and notes. Prior to 2.2.60, the POST /planner/attachments/ endpoint allows authenticated users to upload SVG and HTML attachments because conf/configs/common.py omits those formats from BLOCKED_ATTACHMENT_EXTENSIONS and BLOCKED_ATTACHMENT_MIME_TYPES, and helium/planner/serializers/attachmentserializer.py relies on those blocklists. An uploaded SVG served as image/svg+xml can execute embedded script when a visitor opens its public attachment URL, allowing persistent attacker-controlled active content and phishing under an application-managed storage URL. The attachment storage uses a separate origin from the application, so same-origin policy prevents the script from reading application cookies or storage, and application-session compromise is not supported by the maintained deployment configuration. This issue is fixed in version 2.2.60.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS