CVE-2026-59238
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność Stored Cross-Site Scripting (CWE-79) w funkcjach renderowania raportów po stronie klienta (renderPreview, renderEditor, renderAuditData w js/app.js) w maalfer Pentestify przed wersją 1.1.0. Umożliwia zdalnemu, uwierzytelnionemu atakującemu wykonanie dowolnego JavaScript w przeglądarce każdego użytkownika, który wyświetli zmodyfikowany raport, poprzez ładunek przechowywany w tablicy images lub client_logo, który jest interpolowany do atrybutu src znacznika <img> bez kodowania.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, kradzieży danych lub dalszych ataków na użytkowników platformy Pentestify.
Rekomendacja
Zaleca się aktualizację Pentestify do wersji 1.1.0 lub nowszej, która zawiera poprawkę bezpieczeństwa.
Inne podatności w Pentestify
Zobacz wszystkie- CVE-2026-76203Średnie
W maalfer Pentestify w wersjach od 1.2.0 do 2.3.2 występuje podatność polegająca na nieprawidłowej kolejności walidacji i kanonizacji w sanityzatorze CSS motywów raportów. Uwierzytelniony użytkownik może wymusić wychodzące żądania HTTP z przeglądarek innych użytkowników, ujawniając ich adres IP i User-Agent, poprzez sekwencje ucieczki CSS, które odtwarzają funkcję url() i omijają blokadę sanityzatora.
- CVE-2026-19744Średnie
Podatność na cross-site scripting w rendererze Markdown w maalfer Pentestify przed wersją 2.3.2 pozwala uwierzytelnionym użytkownikom na wykonanie dowolnego JavaScript w kontekście aplikacji poprzez link Markdown, którego URL zawiera cudzysłów, co zamyka atrybut href kotwicy, ponieważ proces sanityzacji nie escapuje cudzysłowów.
- CVE-2026-19434Średnie
Cross-site Scripting w rendererze wyników w maalfer Pentestify przed wersją 2.3.1 umożliwia uwierzytelnionym użytkownikom wykonanie dowolnego JavaScriptu w kontekście aplikacji poprzez znaczniki HTML przechowywane w polu ważności wyniku, które frontend interpoluje bez escapowania do atrybutów class i style podczas renderowania raportu.
Oryginalny opis (angielski, źródło NVD)
Stored Cross-site Scripting (CWE-79) in the client-side report rendering functions (renderPreview, renderEditor, renderAuditData in js/app.js) in maalfer Pentestify before 1.1.0 allows a remote, authenticated attacker to execute arbitrary JavaScript in the browser of any user who views an affected report via a payload stored in a finding's images array or a report's client_logo array, which is interpolated into an <img> src attribute without escaping.