CVE-2026-57439
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
CyberChef przed wersją 11.2.0 zawiera podatność na zanieczyszczenie prototypu przez operację Series Chart, która akceptuje klucz __proto__ podczas parsowania CSV dostarczonego przez użytkownika. Może to być wykorzystane w połączeniu z innymi operacjami, takimi jak Parse UDP, do wstrzyknięcia złośliwego JavaScriptu do wyjścia HTML.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript do wyników generowanych przez CyberChef, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków na użytkowników przeglądających te wyniki.
Rekomendacja
Należy niezwłocznie zaktualizować CyberChef do wersji 11.2.0 lub nowszej, która usuwa tę podatność.
Inne podatności w CyberChef
Zobacz wszystkie- CVE-2026-72912Średnie
CyberChef przed wersją 11.3.0 ma podatność na wyczerpanie CPU po stronie klienta w parserze pretty-recipe w src/core/Utils.mjs, gdy złośliwy fragment URL #recipe= z dużą liczbą niepasujących znaków cudzysłowu trafi do Utils.parseRecipeConfig(). Funkcja synchronicznie stosuje złożone wyrażenie regularne, które może wykonać ciężkie cofanie, powodując zawieszenie karty przeglądarki na sekundy lub dłużej. Nie ma wykonania kodu, eksfiltracji danych ani eskalacji uprawnień.
- CVE-2026-42615Wysokie
GCHQ CyberChef przed wersją 11.0.0 zawiera podatność na XSS poprzez funkcję Show Base64 offsets, co umożliwia wstrzyknięcie skryptów.
Oryginalny opis (angielski, źródło NVD)
CyberChef is a web app for encryption, encoding, compression, and data analysis. Prior to 11.2.0, the Series Chart operation accepts __proto__ as a key while parsing user-supplied CSV, allowing prototype pollution that can be chained with operations such as Parse UDP to inject malicious JavaScript into HTML output. This issue is fixed in version 11.2.0.