CVE-2026-79314
NieznaneStreszczenie
Podatność na poziomą eskalację uprawnień w x-ui 0.3.2. Uwierzytelniony użytkownik może modyfikować konfiguracje przychodzących proxy innych użytkowników, w tym remark, port, protokół, ustawienia, stan włączenia, czas wygaśnięcia i limit ruchu, wysyłając żądanie odwołujące się do identyfikatora zasobu docelowego. Ścieżka aktualizacji nie weryfikuje, czy zasób docelowy należy do użytkownika sesji, co pozwala na nieautoryzowaną modyfikację danych między użytkownikami.
Ocena ryzyka
Uwierzytelniony użytkownik może zmienić konfiguracje innych użytkowników, co może prowadzić do zakłócenia usług lub nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj x-ui do wersji, która zawiera poprawkę, lub zastosuj środki kontroli dostępu.
Inne podatności w x-ui
Zobacz wszystkie- CVE-2026-79315Średnie
W x-ui 0.3.2 istnieje odbita podatność cross-site scripting (XSS). Interfejs zarządzania odzwierciedla surowy URI żądania w wyrażeniu wiązania szablonu po stronie klienta używanym do podświetlania pozycji menu bocznego. Escaping encji HTML po stronie serwera jest nieskuteczny w tym kontekście: przeglądarka dekoduje encje przed oceną treści przez framework po stronie klienta jako wyrażenie JavaScript. Zalogowany użytkownik panelu, który odwiedzi spreparowany URL, umożliwia wykonanie dowolnego skryptu w kontekście tej samej strony zarządzania, co umożliwia kradzież danych i nieautoryzowane działania w sesji ofiary.
- CVE-2026-79317Średnie
Wada unieważniania sesji w x-ui 0.3.2. Pełny obiekt użytkownika jest przechowywany w podpisanym cookie po stronie klienta, a uwierzytelnianie nie weryfikuje ponownie sesji w bazie danych. Zmiana nazwy użytkownika lub hasła nie unieważnia wcześniej wydanych cookie, więc atakujący z ważnym cookie może nadal korzystać z panelu administracyjnego.
- CVE-2026-79316Wysokie
Podatność nieprawidłowej kontroli dostępu w x-ui 0.3.2. Każdy uwierzytelniony użytkownik panelu może zmodyfikować szablon konfiguracji xray i wywołać restart panelu, co powoduje, że usługa gRPC zarządzania xray, domyślnie związana z loopbackiem, zostaje wygenerowana i związana z adresami nie-loopbackowymi. Rozszerza to zasięg interfejsu zarządzania poza zamierzone granice lokalne.
Oryginalny opis (angielski, źródło NVD)
A horizontal privilege escalation vulnerability exists in x-ui 0.3.2. An authenticated user can modify the inbound proxy configurations of other users, including remark, port, protocol, settings, enabled state, expiry time and traffic quota, by submitting a request referencing the target resource identifier. The update path fails to verify that the target resource belongs to the requesting session user, allowing unauthorized cross-user modification of data.