CVE-2026-79315
ŚrednieCVSS 4.7Streszczenie
W x-ui 0.3.2 istnieje odbita podatność cross-site scripting (XSS). Interfejs zarządzania odzwierciedla surowy URI żądania w wyrażeniu wiązania szablonu po stronie klienta używanym do podświetlania pozycji menu bocznego. Escaping encji HTML po stronie serwera jest nieskuteczny w tym kontekście: przeglądarka dekoduje encje przed oceną treści przez framework po stronie klienta jako wyrażenie JavaScript. Zalogowany użytkownik panelu, który odwiedzi spreparowany URL, umożliwia wykonanie dowolnego skryptu w kontekście tej samej strony zarządzania, co umożliwia kradzież danych i nieautoryzowane działania w sesji ofiary.
Ocena ryzyka
Atakujący może wykraść dane sesyjne lub wykonać nieautoryzowane działania w kontekście zalogowanego użytkownika panelu, co może prowadzić do przejęcia konta administratora i naruszenia bezpieczeństwa całego systemu.
Rekomendacja
Zaktualizuj x-ui do wersji z poprawką. Dodatkowo poinformuj użytkowników o ryzyku klikania w podejrzane linki i rozważ zastosowanie dodatkowych zabezpieczeń, takich jak filtry anty-XSS.
Inne podatności w x-ui
Zobacz wszystkie- CVE-2026-79314Nieznane
Podatność na poziomą eskalację uprawnień w x-ui 0.3.2. Uwierzytelniony użytkownik może modyfikować konfiguracje przychodzących proxy innych użytkowników, w tym remark, port, protokół, ustawienia, stan włączenia, czas wygaśnięcia i limit ruchu, wysyłając żądanie odwołujące się do identyfikatora zasobu docelowego. Ścieżka aktualizacji nie weryfikuje, czy zasób docelowy należy do użytkownika sesji, co pozwala na nieautoryzowaną modyfikację danych między użytkownikami.
- CVE-2026-79317Średnie
Wada unieważniania sesji w x-ui 0.3.2. Pełny obiekt użytkownika jest przechowywany w podpisanym cookie po stronie klienta, a uwierzytelnianie nie weryfikuje ponownie sesji w bazie danych. Zmiana nazwy użytkownika lub hasła nie unieważnia wcześniej wydanych cookie, więc atakujący z ważnym cookie może nadal korzystać z panelu administracyjnego.
- CVE-2026-79316Wysokie
Podatność nieprawidłowej kontroli dostępu w x-ui 0.3.2. Każdy uwierzytelniony użytkownik panelu może zmodyfikować szablon konfiguracji xray i wywołać restart panelu, co powoduje, że usługa gRPC zarządzania xray, domyślnie związana z loopbackiem, zostaje wygenerowana i związana z adresami nie-loopbackowymi. Rozszerza to zasięg interfejsu zarządzania poza zamierzone granice lokalne.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting vulnerability exists in x-ui 0.3.2. The management interface reflects the raw request URI into a client-side template binding expression used for sidebar menu highlighting. Server-side HTML entity escaping is ineffective in this context: the browser decodes the entities before the client-side framework evaluates the content as a JavaScript expression. A logged-in panel user who visits a crafted URL allows arbitrary script execution in the same-origin context of the management page, enabling data theft and unauthorized actions through the victim's session.