CVE-2026-57167
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
PeerTube przed wersją 8.2.2 zawiera podatność na wstrzykiwanie skryptów (XSS) na stronach odtwarzania wideo renderowanych po stronie serwera. Podczas generowania bloku JSON-LD schema.org, metadane wideo są serializowane bez odpowiedniego kodowania znaków specjalnych, co pozwala atakującemu na wstrzyknięcie dowolnego kodu HTML lub JavaScript.
Ocena ryzyka
Atakujący może umieścić złośliwy kod w metadanych swojego wideo, który wykona się w przeglądarce odwiedzającego w kontekście domeny instancji PeerTube. Może to prowadzić do kradzieży sesji, przejęcia konta lub dalszych ataków na użytkowników.
Rekomendacja
Niezwłocznie zaktualizuj PeerTube do wersji 8.2.2 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w PeerTube
Zobacz wszystkie- CVE-2026-73211Krytyczne
PeerTube to platforma do strumieniowania wideo z federacją ActivityPub. Przed wersją 8.1.6 funkcja ActorFollowModel.updateScore() interpoluje kontrolowany przez atakującego adres inboxUrl aktora ActivityPub do zapytania SQL, co pozwala nieuwierzytelnionemu zdalnemu serwerowi na odczyt i zapis tabel bazy danych PeerTube, w tym oAuthToken.accessToken, oraz przejęcie kont administratorów. Problem został naprawiony w wersji 8.1.6.
- CVE-2026-73090Krytyczne
PeerTube to platforma do strumieniowania wideo z federacją ActivityPub. Przed wersją 8.2.2 funkcje processUpdateActivity i processUpdateVideo akceptują aktualizację ActivityPub zawierającą obiekt Video bez weryfikacji, czy byActor.url jest autoryzowany dla hosta w videoObject.id, co pozwala złośliwemu serwerowi federacyjnemu na przepisanie metadanych wideo, widoczności, pliku multimedialnego i adresów URL HLS innego serwera. Problem został naprawiony w wersji 8.2.2.
Oryginalny opis (angielski, źródło NVD)
PeerTube is an ActivityPub-federated video streaming platform. Prior to 8.2.2, server-side-rendered video watch pages embed a schema.org JSON-LD block by JSON.stringify-ing video metadata without escaping less-than, greater-than, or slash characters, allowing a value containing the byte sequence that closes a script element to inject arbitrary HTML or JavaScript that executes in the instance origin for visitors to the attacker's videos. This issue is fixed in version 8.2.2.