CVE-2026-72559
ŚrednieCVSS 5.4Streszczenie
Podatność na trwały atak XSS w HortusFox 5.9 pozwala uwierzytelnionym członkom przestrzeni roboczej na wstrzyknięcie trwałego JavaScriptu do notatek roślin przez Parsedown renderowany bez trybu bezpiecznego. Notatki są renderowane bez escapowania w przeglądarce każdego użytkownika, który widzi daną roślinę. Atakujący może ukraść ciasteczka sesji lub wykonywać działania w kontekście innych użytkowników, w tym administratorów.
Ocena ryzyka
Kradzież sesji i eskalacja uprawnień mogą prowadzić do przejęcia kont administratorów i naruszenia danych.
Rekomendacja
Zaktualizuj HortusFox do wersji, która używa bezpiecznego trybu Parsedown i escapuje dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting vulnerability in HortusFox 5.9 allows authenticated workspace members to inject persistent JavaScript into plant notes via Parsedown rendered without safe mode. Notes are rendered unescaped in the browser of every user who views the affected plant. An attacker can use this to steal session cookies or perform actions in the context of other users including administrators.