CVE-2026-72559
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność na trwały atak XSS w HortusFox 5.9 pozwala uwierzytelnionym członkom przestrzeni roboczej na wstrzyknięcie trwałego JavaScriptu do notatek roślin przez Parsedown renderowany bez trybu bezpiecznego. Notatki są renderowane bez escapowania w przeglądarce każdego użytkownika, który widzi daną roślinę. Atakujący może ukraść ciasteczka sesji lub wykonywać działania w kontekście innych użytkowników, w tym administratorów.
Ocena ryzyka
Kradzież sesji i eskalacja uprawnień mogą prowadzić do przejęcia kont administratorów i naruszenia danych.
Rekomendacja
Zaktualizuj HortusFox do wersji, która używa bezpiecznego trybu Parsedown i escapuje dane wejściowe.
Inne podatności w HortusFox
Zobacz wszystkie- CVE-2026-108101Wysokie
HortusFox (hortusfox-web) do wersji 6.3 zawiera podatność nieograniczonego przesyłania plików w PlantAttachmentModel, która pozwala uwierzytelnionym użytkownikom przechowywać pliki z rozszerzeniami dostarczonymi przez klienta w public/attachments/. Atakujący mogą przesyłać pliki HTML lub SVG przez /plants/attachments/add w celu przechowywanego cross-site scripting lub pliki PHP, gdy .htaccess nie jest egzekwowany, w celu wykonania kodu.
- CVE-2026-108100Średnie
HortusFox (hortusfox-web) przed wersją 6.2 zawiera podatność na wstrzykiwanie SQL, która pozwala posiadaczom tokenów API na wstrzykiwanie SQL poprzez dostarczenie spreparowanych wartości include_info do punktu końcowego /api/locations/list. Atakujący mogą umieścić podzapytania w include_info, które PlantsModel::getSpecificInfo() konkatenuje do listy kolumn, aby odczytać dowolną tabelę bazy danych, w tym hasła użytkowników.
- CVE-2026-104069Wysokie
HortusFox przed wersją 6.2 zawiera podatność na zdalne wykonanie kodu w metodzie ThemeModule::startImport(), gdzie przesłane archiwum ZIP jest rozpakowywane bezpośrednio do publicznego katalogu głównego serwera WWW przed jakąkolwiek walidacją nazw plików, rozszerzeń lub zawartości. Uwierzytelniony administrator może przesłać spreparowane archiwum motywu zawierające plik PHP i plik .htaccess, aby ponownie włączyć wykonywanie, a następnie zażądać go w katalogu motywów, co pozwala na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting vulnerability in HortusFox 5.9 allows authenticated workspace members to inject persistent JavaScript into plant notes via Parsedown rendered without safe mode. Notes are rendered unescaped in the browser of every user who views the affected plant. An attacker can use this to steal session cookies or perform actions in the context of other users including administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS