CVE-2026-78062

WysokieCVSS 7.3

Opublikowano: 23/08/2026(UTC)Zaktualizowano: 27/08/2026(UTC)Przetłumaczono: 23/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

W produkcie vas3k TaxHacker do wersji 0.8.2 znaleziono podatność polegającą na użyciu twardo zakodowanych poświadczeń w funkcji envSchema.parse pliku lib/config.ts. Manipulacja argumentem BETTER_AUTH_SECRET umożliwia zdalny atak. Projekt został poinformowany o problemie, ale nie odpowiedział.

Ocena ryzyka

Atakujący może wykorzystać twardo zakodowane poświadczenia do nieautoryzowanego dostępu do systemu, co może prowadzić do naruszenia poufności danych i integralności systemu.

Rekomendacja

Zaleca się natychmiastową zmianę twardo zakodowanych poświadczeń na bezpieczne, konfigurowalne wartości oraz monitorowanie projektu pod kątem poprawek.

Inne podatności w vas3k TaxHacker

CVE-2026-78061Średnie
W produkcie vas3k TaxHacker do wersji 0.8.2 znaleziono podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji buildImapConfig pliku lib/email-sync/imap-client.ts. Manipulacja argumentami host/port umożliwia zdalny atak. Pull request z poprawką oczekuje na akceptację.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in vas3k TaxHacker up to 0.8.2. The affected element is the function envSchema.parse of the file lib/config.ts of the component JWT Secret Handler. The manipulation of the argument BETTER_AUTH_SECRET leads to hard-coded credentials. The attack can be initiated remotely. The project was informed of the problem early through an issue report but has not responded yet.