CVE-2026-71285
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Integracja z Matomo w Uptime Kuma wstrzykuje wartość Matomo skonfigurowaną przez administratora jako niecytowane wyrażenie JavaScript w bloku <script> na każdej publicznej stronie statusu. Wartość siteId, taka jak , po zapisaniu przez edytora/admina, wykonuje dowolny JavaScript dla każdego nieuwierzytelnionego odwiedzającego publiczną stronę /status/<slug>, umożliwiając kradzież ciasteczek sesji i pełne przejęcie strony.
Ocena ryzyka
Atakujący z uprawnieniami edytora lub administratora może wykonać złośliwy skrypt w przeglądarkach wszystkich odwiedzających publiczne strony statusu, co może prowadzić do kradzieży sesji i przejęcia kont użytkowników.
Rekomendacja
Zaktualizuj Uptime Kuma do wersji, która poprawnie waliduje i cytuje wartości Matomo, oraz ogranicz uprawnienia do edycji ustawień integracji tylko dla zaufanych administratorów.
Inne podatności w Uptime Kuma
Zobacz wszystkie- CVE-2023-36822Średnie
Uptime Kuma, narzędzie do monitorowania, ma podatność na traversję ścieżki w wersjach przed 1.22.1. Umożliwia to uwierzytelnionym użytkownikom usuwanie plików z serwera, co może prowadzić do utraty danych i niedostępności systemu.
- CVE-2023-36821Wysokie
Uptime Kuma, narzędzie do monitorowania, pozwala uwierzytelnionemu atakującemu na zainstalowanie złośliwego pluginu w wersjach przed 1.22.1, co może prowadzić do zdalnego wykonania kodu. Mimo że funkcja instalacji pluginów jest obecnie wyłączona w interfejsie webowym, odpowiednie punkty końcowe API są nadal dostępne po zalogowaniu.
Oryginalny opis (angielski, źródło NVD)
Uptime Kuma's Matomo analytics integration (server/analytics/matomo-analytics.js) injects the admin-configurable Matomo value as a bare, unquoted JavaScript expression inside a <script> block rendered on every public status page. A siteId value such as , once saved by an editor/admin, executes arbitrary JavaScript for every unauthenticated visitor of the public /status/<slug> page, enabling session-cookie theft and full page takeover.