CVE-2026-6634
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W usememos memos do wersji 0.22.1 funkcja memos_access_token w pliku src/App.tsx komponentu UpdateInstanceSetting pozwala na manipulację argumentami additionalStyle/additionalScript, co prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie wykorzystać podatność do obejścia autoryzacji i potencjalnie wykonać nieautoryzowane działania. Publiczna dostępność exploita zwiększa ryzyko.
Rekomendacja
Zaleca się jak najszybszą aktualizację do wersji, która naprawia podatność, gdy tylko będzie dostępna. Do tego czasu należy ograniczyć dostęp do interfejsu administracyjnego i monitorować nietypową aktywność.
Inne podatności w usememos memos
Zobacz wszystkie- CVE-2025-65799Średnie
W usłudze załączników w usememos memos v0.25.2 brak walidacji nazw plików umożliwia atakującym wykonanie path traversal. Podatność pozwala na dostęp do plików poza zamierzonym katalogiem.
- CVE-2025-65797Średnie
Podatność w usłudze Identity Provider w usememos memos v0.25.2 umożliwia atakującym z niskimi uprawnieniami modyfikację lub usunięcie zarejestrowanych dostawców tożsamości. Może to prowadzić do przejęcia konta lub ataku typu Denial of Service (DoS).
- CVE-2025-65795Wysokie
Podatność w usememos memos v0.25.2 umożliwia nieautoryzowanym atakującym tworzenie dowolnych kont poprzez spreparowane żądanie do endpointu /api/v1/user z powodu nieprawidłowej kontroli dostępu.
- CVE-2025-65798Średnie
W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami dowolną modyfikację lub usuwanie załączników utworzonych przez innych użytkowników.
- CVE-2025-65796Średnie
W usememos memos w wersji 0.25.2 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym z niskimi uprawnieniami arbitralne usuwanie reakcji dodanych do notatek innych użytkowników.
- CVE-2023-4698Wysokie
W repozytorium GitHub usememos/memos przed wersją 0.13.2 występuje niewłaściwa walidacja danych wejściowych.
- CVE-2023-4697Wysokie
W repozytorium GitHub usememos/memos przed wersją 0.13.2 występuje niewłaściwe zarządzanie uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in usememos memos up to 0.22.1. This affects the function memos_access_token of the file src/App.tsx of the component UpdateInstanceSetting. This manipulation of the argument additionalStyle/additionalScript causes improper authorization. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS