CVE-2026-64670
KrytyczneCVSS 9.3Streszczenie
W Waline w wersjach 3.15.2 i wcześniejszych klient @waline/client renderuje podgląd edytora komentarzy za pomocą marked bez sanityzacji i wstrzykuje go przez v-html. Podczas edycji komentarza edytor jest wypełniany surową, niesanityzowaną treścią, więc administrator klikający Edytuj na komentarzu atakującego renderuje surowy HTML w swojej sesji, co prowadzi do przechowywanego XSS i eskalacji uprawnień.
Ocena ryzyka
Nieuwierzytelniony komentator może wykonać przechowywany XSS w sesji moderatora po pojedynczym kliknięciu Edytuj. Może to prowadzić do przejęcia sesji administratora.
Rekomendacja
Brak publicznych poprawek — rozważ ograniczenie możliwości edycji komentarzy lub wdrożenie własnej sanityzacji podglądu. Monitoruj wydania Waline i wdróż poprawkę, gdy będzie dostępna.
Inne podatności w Waline
Zobacz wszystkie- CVE-2026-64671Wysokie
W Waline w wersjach 3.15.2 i wcześniejszych widget @waline/client UserList buduje DOM, konkatenując pola komentatora zwrócone przez serwer bezpośrednio do root.innerHTML bez escapowania HTML. Pola nick i link są przechowywane i zwracane dosłownie (sanityzowana jest tylko treść komentarza), a link nie trafia do filtra spamu, więc nieuwierzytelniony odwiedzający może uzyskać przechowywany XSS wykonujący się bez interakcji u każdego odwiedzającego stronę z widgetem UserList.
- CVE-2026-55369Średnie
Waline to system komentarzy z obsługą backendu. Przed wersją 1.41.1 endpoint logowania POST /api/token odczytuje pole email z treści żądania bez sprawdzania jego typu i przekazuje je bezpośrednio do zapytania MongoDB. Gdy email nie jest ciągiem znaków (np. obiekt JSON {"$ne": null}), adapter MongoDB po cichu pomija pole, tworząc pusty filtr pasujący do wszystkich użytkowników, a hasło jest weryfikowane względem pierwszego użytkownika (administratora). Jest to częściowe obejście uwierzytelniania, które usuwa czynnik email dla konta administratora, umożliwia enumerację użytkowników i amplifikację credential-stuffing.
Oryginalny opis (angielski, źródło NVD)
Waline is a comment system with backend support. In versions 3.15.2 and prior, @waline/client renders the comment editor's live preview with marked and no sanitizer (utils/markdown.ts), and the preview is injected with v-html. When a comment is edited, the editor is seeded with the comment's raw, un-sanitized body (orig). Only administrators and the comment owner can edit. So an administrator who clicks Edit on an attacker's comment renders that attacker's raw HTML in their own session: an unauthenticated commenter achieves privilege-escalation stored XSS against a moderator with a single Edit click. At time of publication, there are no publicly available patches.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS