CVE-2026-67204
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w zakresie uszkodzonej kontroli dostępu w BookStack przed wersją 26.05.4, która pozwala uwierzytelnionym użytkownikom API z uprawnieniami do aktualizacji lub usuwania obrazów na manipulowanie awatarami innych użytkowników poprzez wykorzystanie braku ograniczeń typu zawartości w punktach końcowych API Galerii Obrazów.
Ocena ryzyka
Atakujący może zmienić lub usunąć awatary innych użytkowników, co może prowadzić do naruszenia integralności danych i zaufania.
Rekomendacja
Zaktualizuj BookStack do wersji 26.05.4 lub nowszej i ogranicz uprawnienia API do niezbędnego minimum.
Inne podatności w BookStack
Zobacz wszystkie- CVE-2026-82450Wysokie
BookStack przed wersją 26.05.4 zawiera podatność na zdalne wykonanie kodu w funkcji importu przenośnych plików ZIP, która pozwala użytkownikom z uprawnieniami Import Content i Create Books na przesłanie pliku PHP polyglot jako okładki książki. Atakujący mogą ominąć walidację rozszerzeń obrazów, umieszczając plik PHP z rozszerzeniem .php w archiwum ZIP, który jest przechowywany w publicznym katalogu głównym i wykonywany przez nieuwierzytelnione żądania.
- CVE-2026-5484Średnie
W BookStackApp BookStack do wersji 26.03 wykryto słabość w funkcji chapterToMarkdown w pliku app/Exports/ExportFormatter.php komponentu Chapter Export Handler. Manipulacja argumentem pages może prowadzić do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
BookStack before 26.05.4 contains a broken access control vulnerability that allows authenticated API users with image-update or image-delete permissions to manipulate other users' avatars by exploiting missing content-type restrictions in the Image Gallery API endpoints. Attackers can supply a user avatar's ID to the API controller, which loads any image type without the web controller's gallery and drawio restrictions, and when the avatar's uploaded_to field matches a page ID accessible to the attacker, the authorization check passes allowing the attacker to rename, replace, or delete the target user's avatar without requiring user-management permission.