CVE-2026-58489
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W aplikacji HedgeDoc przed wersją 1.11.0 stwierdzono podatność w przepływie eksportu do GitHub Gist. Mechanizm OAuth2 nie walidował poprawnie parametru state, co umożliwiało atakującemu sfałszowanie adresu zwrotnego i podmianę kodu autoryzacyjnego. W rezultacie ofiara klikająca w spreparowany link mogła nieświadomie wyeksportować swoją prywatną notatkę do Gist kontrolowanego przez atakującego.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych notatek (prywatnych, chronionych lub z ograniczonym dostępem) do zewnętrznego repozytorium kontrolowanego przez atakującego, bez wiedzy i zgody użytkownika.
Rekomendacja
Należy niezwłocznie zaktualizować HedgeDoc do wersji 1.11.0 lub nowszej, która zawiera poprawkę walidacji parametru state w przepływie OAuth2.
Inne podatności w HedgeDoc
Zobacz wszystkie- CVE-2026-58486Wysokie
HedgeDoc przed wersją 1.11.0 był podatny na bombę aliasów YAML w frontmatter notatek. Niebezpieczne parsowanie za pomocą js-yaml.load powodowało rozwijanie aliasów kotwic YAML, co prowadziło do ogromnych struktur danych i nadmiernego zużycia CPU. Atak mógł zablokować pętlę zdarzeń Node.js na około 235 sekund na żądanie, powodując odmowę usługi (DoS).
- CVE-2026-58488Średnie
HedgeDoc w wersjach przed 1.11.0 umożliwiał atakującym ominięcie ograniczeń szybkości żądań do ścieżek /login i /register poprzez fałszowanie nagłówka cf-connecting-ip. Aplikacja ufała temu nagłówkowi nawet gdy żądanie nie pochodziło z Cloudflare, co pozwalało na spamowanie logowaniem lub tworzenie wielu kont.
- CVE-2026-58487Średnie
HedgeDoc przed wersją 1.11.0 był podatny na przechowywany atak HTML Injection przez niebezpieczne przetwarzanie lokalnej części adresu e-mail. Atakujący mógł zarejestrować specjalnie spreparowany adres e-mail i wstrzyknąć dowolny kod HTML do stron wyświetlanych innym użytkownikom.
- CVE-2023-38487Średnie
HedgeDoc przed wersją 1.9.9 pozwalał na tworzenie notatek z aliasem odpowiadającym ID istniejących notatek, co skutkowało ukrywaniem oryginalnych notatek. Użytkownicy mogli wykorzystać tę lukę do manipulacji treścią notatek oraz uniemożliwienia dostępu do oryginalnych notatek.
Oryginalny opis (angielski, źródło NVD)
HedgeDoc is an open source, real-time collaborative markdown notes application. Prior to 1.11.0, the GitHub Gist export flow created an OAuth2 state value but only checked that it was present rather than validating it against the value expected for the user's session. Because the state was not properly validated, an attacker could forge a callback URL containing their own valid GitHub OAuth code. When processing the callback, HedgeDoc used the victim's logged-in session to select which note to export, but the attacker's authorization code to determine which GitHub account received it. As a result, a logged-in victim who clicked a crafted link could export their own private, protected, or limited note directly into a Gist controlled by the attacker. This issue has been fixed in version 1.11.0.