CVE-2026-75626
KrytyczneCVSS 9.3Streszczenie
SpiderFoot nie koduje znaków HTML w tytułach korelacji budowanych z zewnętrznych danych skanowania, takich jak banery serwerów i metadane. Atakujący mogą wstrzyknąć złośliwe elementy HTML z obsługą zdarzeń do wyników korelacji, które wykonują skrypty w przeglądarce operatora po otwarciu widoku korelacji, potencjalnie kradnąc klucze API.
Ocena ryzyka
Ryzyko obejmuje wykonanie skryptów w kontekście przeglądarki operatora, co może prowadzić do kradzieży kluczy API i innych wrażliwych danych, a także do przejęcia sesji.
Rekomendacja
Zaleca się zaktualizowanie SpiderFoot do wersji z poprawką oraz unikanie otwierania wyników korelacji z niezaufanych źródeł do czasu wdrożenia poprawki.
Oryginalny opis (angielski, źródło NVD)
SpiderFoot fails to HTML-escape correlation titles built from external scan data sources including server banners and metadata. Attackers can inject malicious HTML elements with event handlers into correlation results that execute scripts in the operator's browser when the correlations view is opened, potentially stealing API keys.