CVE-2026-73262
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Prowler przed wersją 5.37.0 formatter HTML w prowler/lib/outputs/html/html.py wstawiał finding.resource_tags do raportów bez escapowania HTML. Osoba z uprawnieniami do modyfikacji tagów zasobów może przechowywać HTML lub JavaScript, który wykona się, gdy inny użytkownik otworzy raport.
Ocena ryzyka
Ryzyko ataku XSS (Cross-Site Scripting) na użytkowników raportów. Może to prowadzić do kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary.
Rekomendacja
Zaktualizuj Prowler do wersji 5.37.0 lub nowszej, która zawiera poprawkę. Upewnij się, że wszystkie dane wyjściowe HTML są odpowiednio escapowane.
Inne podatności w Prowler
Zobacz wszystkie- CVE-2026-73263Krytyczne
Prowler przed wersją 5.36.0 w teście połączenia dostawcy Kubernetes akceptuje kubeconfig_content zawierający starszy dostawca uwierzytelniania gcp z config.cmd-path i config.cmd-args. Sprawdzenie tylko bloków exec w kubeconfig_contains_exec_auth oraz ładowanie przez config.load_kube_config_from_dict powoduje, że kubernetes-python CommandTokenSource.token uruchamia polecenie dostarczone przez atakującego przez subprocess.Popen na wspólnym workerze.
- CVE-2026-59151Krytyczne
Podatność w Prowler przed wersją 5.30.3 pozwala atakującemu na przejęcie konta w innym tenantcie poprzez manipulację adresem email w odpowiedzi SAML. System ufał domenie email z SAMLResponse przy wyborze tenanta, zamiast wiązać token z zatwierdzoną konfiguracją SAML.
- CVE-2026-73264Wysokie
Prowler przed wersją 5.33.1 umożliwia uwierzytelnionemu użytkownikowi z dostępem do konfiguracji dostawcy Lighthouse podanie niezweryfikowanego base_url dla dostawcy openai_compatible przez POST /api/v1/lighthouse/providers i POST /api/v1/lighthouse/providers/{id}/connection. Powoduje to wysyłanie żądań wychodzących, w tym klucza API w nagłówku Authorization, do kontrolowanych przez atakującego lub wewnętrznych punktów końcowych podczas wywołania client.models.list.
Oryginalny opis (angielski, źródło NVD)
Prowler is a cloud security platform. Prior to 5.37.0, Prowler's HTML output formatter in prowler/lib/outputs/html/html.py inserted finding.resource_tags, assembled by unroll_dict and parse_html_string, into generated reports without HTML escaping, allowing a cloud principal who can modify a scanned resource tag to store HTML or JavaScript that executes when another user opens the report. This issue is fixed in version 5.37.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS