CVE-2026-67993

WysokieCVSS 8.8

Opublikowano: 29/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Projekt basecamp/upright w commitcie efe4f2e5254ac6e57e45d2261804cca74dbbca3f zawiera podatność na cross-site request forgery (CSRF) w logowaniu przez statyczne poświadczenia (static credentials callback).

Ocena ryzyka

Atakujący może wykorzystać CSRF do nieautoryzowanego logowania w imieniu ofiary, co może prowadzić do przejęcia sesji lub wykonania niepożądanych działań.

Rekomendacja

Zaktualizuj komponent do wersji zawierającej poprawkę lub zastosuj mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF w procesie logowania.

Inne podatności w basecamp/upright

CVE-2026-67990Średnie
W projekcie basecamp/upright w konkretnym commicie wyłączono ochronę CSRF Rails dla kontrolerów proxy Alertmanager i Prometheus. Nieuwierzytelniony atakujący może nakłonić przeglądarkę zalogowanego użytkownika do wysyłania żądań, które są przekazywane do włączonych punktów końcowych zapisu lub zarządzania, takich jak tworzenie ciszy Alertmanager lub żądanie przeładowania Prometheusa. Ostateczny wpływ zależy od interfejsów API włączonych przez usługi nadrzędne.

Oryginalny opis (angielski, źródło NVD)

basecamp/upright at commit efe4f2e5254ac6e57e45d2261804cca74dbbca3f contains a login cross-site request forgery issue in the static credentials callback.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS