CVE-2026-64671
WysokieCVSS 7.2Streszczenie
W Waline w wersjach 3.15.2 i wcześniejszych widget @waline/client UserList buduje DOM, konkatenując pola komentatora zwrócone przez serwer bezpośrednio do root.innerHTML bez escapowania HTML. Pola nick i link są przechowywane i zwracane dosłownie (sanityzowana jest tylko treść komentarza), a link nie trafia do filtra spamu, więc nieuwierzytelniony odwiedzający może uzyskać przechowywany XSS wykonujący się bez interakcji u każdego odwiedzającego stronę z widgetem UserList.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć skrypt wykonujący się automatycznie w przeglądarkach wszystkich odwiedzających strony z widgetem UserList. Może to prowadzić do kradzieży sesji i innych ataków.
Rekomendacja
Brak publicznych poprawek — rozważ wyłączenie widgetu UserList lub wdrożenie własnego escapowania pól nick i link. Monitoruj wydania Waline i wdróż poprawkę, gdy będzie dostępna.
Inne podatności w Waline
Zobacz wszystkie- CVE-2026-64670Krytyczne
W Waline w wersjach 3.15.2 i wcześniejszych klient @waline/client renderuje podgląd edytora komentarzy za pomocą marked bez sanityzacji i wstrzykuje go przez v-html. Podczas edycji komentarza edytor jest wypełniany surową, niesanityzowaną treścią, więc administrator klikający Edytuj na komentarzu atakującego renderuje surowy HTML w swojej sesji, co prowadzi do przechowywanego XSS i eskalacji uprawnień.
- CVE-2026-55369Średnie
Waline to system komentarzy z obsługą backendu. Przed wersją 1.41.1 endpoint logowania POST /api/token odczytuje pole email z treści żądania bez sprawdzania jego typu i przekazuje je bezpośrednio do zapytania MongoDB. Gdy email nie jest ciągiem znaków (np. obiekt JSON {"$ne": null}), adapter MongoDB po cichu pomija pole, tworząc pusty filtr pasujący do wszystkich użytkowników, a hasło jest weryfikowane względem pierwszego użytkownika (administratora). Jest to częściowe obejście uwierzytelniania, które usuwa czynnik email dla konta administratora, umożliwia enumerację użytkowników i amplifikację credential-stuffing.
Oryginalny opis (angielski, źródło NVD)
Waline is a comment system with backend support. In versions 3.15.2 and prior, the @waline/client UserList widget builds its DOM by concatenating server-returned commenter fields directly into root.innerHTML with no HTML escaping. The commenter nick and link are stored and returned verbatim by the server (only the comment body is sanitized), and the link field is never sent to the spam filter. So an unauthenticated visitor who posts a comment with link = x"><img src=x onerror=...> achieves stored cross-site scripting that executes, with no interaction, in the browser of every visitor to a page that embeds the UserList widget. At time of publication, there are no publicly available patches.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS