CVE-2026-75531
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Pandora zawiera podatność na przechowywany XSS w renderowaniu obserwowalnych URL. Złośliwy URL może zostać wstrzyknięty do inline JavaScript onclick, co pozwala na wykonanie dowolnego kodu JavaScript w kontekście aplikacji.
Ocena ryzyka
Atakujący może wykraść informacje dostępne w przeglądarce ofiary lub wykonywać działania w jej sesji, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację Pandory do wersji z poprawką, która usuwa wartość obserwowalną z inline JavaScript.
Inne podatności w Pandora
Zobacz wszystkie- CVE-2026-88069Krytyczne
Pandora zawiera podatność na przechodzenie po ścieżkach w mechanizmie rozpakowywania archiwów. Podczas przetwarzania specjalnie spreparowanego archiwum lub obrazu dysku, ścieżki plików kontrolowane przez atakującego mogą być używane bez zapewnienia, że wynikowy cel pozostanie w zamierzonym katalogu ekstrakcji. Atakujący, który może przesłać złośliwy plik do analizy, może użyć sekwencji przechodzenia po ścieżkach, aby zapisać wyodrębnione treści poza wyznaczonym katalogiem, potencjalnie nadpisując pliki dostępne dla procesu Pandora.
- CVE-2026-74764Krytyczne
Pandora zawiera podatność na przechodzenie po ścieżkach w funkcji ekstrakcji archiwów TAR. Podczas przetwarzania archiwum TAR nazwy członków archiwum są przekazywane bezpośrednio do funkcji tarfile.TarFile.extract() bez filtra ekstrakcji. Atakujący może przesłać specjalnie spreparowane archiwum TAR ze złośliwymi ścieżkami, co pozwala na zapis plików poza zamierzonym katalogiem.
- CVE-2026-75529Średnie
Pandora jest podatna na przechowywany atak XSS w funkcji pobierania plików PDF. Punkt końcowy /task-download/<task_id>/.../pdf weryfikuje, że plik jest PDF, ale zwraca go bez jawnego określenia typu MIME, co pozwala na serwowanie pliku jako HTML lub innego aktywnego formatu. Specjalnie spreparowany plik PDF/polyglot może wykonać skrypt w kontekście aplikacji Pandora.
- CVE-2026-74767Wysokie
Pandora zawiera podatność na atak typu odmowa usługi podczas obsługi plików DAA (Direct Access Archive). Przy wyodrębnianiu wewnętrznego obrazu ISO z archiwum DAA skompresowane fragmenty są dekompresowane za pomocą zlib.decompress() bez ograniczenia rozmiaru wynikowych danych. Atakujący może przesłać spreparowany plik DAA z wysoko skompresowanymi danymi, co powoduje nadmierne zużycie pamięci i potencjalnie CPU, prowadząc do zawieszenia lub przerwania działania usługi.
Oryginalny opis (angielski, źródło NVD)
Pandora contains a stored cross-site scripting (XSS) vulnerability in the rendering of URL observables. A URL extracted from or associated with an analyzed file was inserted directly into the inline JavaScript onclick handler used by the Submit to Lookyloo action. Although the value was subject to HTML escaping by the template engine, it was embedded inside a JavaScript string within an HTML attribute. An attacker-controlled URL containing specially crafted characters could therefore break out of the JavaScript string and inject arbitrary JavaScript code. The malicious script would execute in the context of the Pandora web application when a victim interacts with the affected Submit to Lookyloo control. Successful exploitation could allow an attacker to access information available to the victim's browser or perform actions using the victim's authenticated Pandora session. The patch removes the observable value from the inline JavaScript handler. The URL is instead stored in an HTML data-url attribute and retrieved through the DOM dataset API when needed. Additional uses of innerHTML were also replaced with textContent as defensive hardening.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS