CVE-2026-76837
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Baserow interpoluje nazwę wyświetlaną użytkownika do znaczników wzmianek w formacie bogatym bez kodowania HTML. PATCH /api/user/account/ przechowuje wartość first_name dosłownie, a renderer wzmianek w web-frontend/modules/core/editor/mention.js buduje swój element za pomocą literału szablonu, który umieszcza nazwę w atrybucie data-label i treści elementu bez escapowania. Nazwa zawierająca cudzysłów zamyka ten atrybut i otwierający tag, więc dalszy znacznik trafia do treści elementu. Wynik jest renderowany przez v-html przez komponenty pól bogatych, więc każda komórka bogata wspominająca konto wykonuje zapisany skrypt dla każdego członka przestrzeni roboczej, który widzi tabelę, bez kliknięcia. Każdy członek przestrzeni roboczej, na najniższym poziomie uprawnień, może ustawić nazwę i dotrzeć do każdego innego członka przestrzeni roboczej, a ładunek pozostaje, dopóki nazwa nie zostanie zmieniona lub wiersz ze wzmianką nie zostanie usunięty. Wersja 2.3.0 escapuje wartość przed interpolacją.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarkach wszystkich członków przestrzeni roboczej, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację Baserow do wersji 2.3.0 lub nowszej, która zawiera poprawkę. Należy również ograniczyć uprawnienia do zmiany nazwy wyświetlanej.
Inne podatności w Baserow
Zobacz wszystkie- CVE-2026-81335Wysokie
Baserow wysyła źródło danych Application Builder bez sprawdzania wyniku kontroli uprawnień. Widoki dispatch i record-name są zadeklarowane z klasą uprawnień, która dopuszcza każdego wywołującego, a kontrola uprawnień nie powoduje przerwania wykonania. Nieuwierzytelnione żądanie może otrzymać wiersze i pola ze źródła danych, a identyfikatory są małymi liczbami całkowitymi, które można enumerować. Wersja 2.3.1 przekazuje raise_exception do tego samego wywołania.
- CVE-2026-18817Niskie
W Baserow do wersji 2.3.2 wykryto problem w funkcji BaserowImpersonateAuthTokenSerializer w komponencie Inactive Non-Staff User Handler, który prowadzi do nieprawidłowej autoryzacji. Atak zdalny jest możliwy, ale wymaga dużej złożoności. Producent uważa, że może to być raczej błąd niż podatność, ale zaleca aktualizację do wersji 2.3.3.
- CVE-2026-18816Średnie
W systemie Baserow do wersji 2.3.2 stwierdzono podatność w funkcji verify w pliku views.py komponentu 2FA Verify Endpoint, która prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością. Problem został naprawiony w wersji 2.3.3.
Oryginalny opis (angielski, źródło NVD)
Baserow interpolates a user's display name into the rich-text mention markup without HTML encoding. PATCH /api/user/account/ stores the first_name value verbatim, and the mention renderer in web-frontend/modules/core/editor/mention.js builds its element with a template literal that places the name into a data-label attribute and the element body unescaped. A name containing a double quote closes that attribute and the opening tag, so following markup lands in the element content. The result is rendered through v-html by the rich-text field components, so any rich-text cell mentioning the account executes the stored script for every workspace member who views the table, without a click. Any workspace member, at the lowest permission level, can set the name and reach every other member of the workspace, and the payload persists until the name is changed or the mentioning row is removed. Version 2.3.0 escapes the value before interpolation.