CVE-2026-79316
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowej kontroli dostępu w x-ui 0.3.2. Każdy uwierzytelniony użytkownik panelu może zmodyfikować szablon konfiguracji xray i wywołać restart panelu, co powoduje, że usługa gRPC zarządzania xray, domyślnie związana z loopbackiem, zostaje wygenerowana i związana z adresami nie-loopbackowymi. Rozszerza to zasięg interfejsu zarządzania poza zamierzone granice lokalne.
Ocena ryzyka
Zwiększenie powierzchni ataku na interfejs zarządzania, co może umożliwić zdalny dostęp do wrażliwych funkcji.
Rekomendacja
Zaktualizuj x-ui do wersji z poprawką. Ogranicz uprawnienia użytkowników i wymuś wiązanie usług tylko z loopbackiem.
Inne podatności w x-ui
Zobacz wszystkie- CVE-2026-79315Średnie
W x-ui 0.3.2 istnieje odbita podatność cross-site scripting (XSS). Interfejs zarządzania odzwierciedla surowy URI żądania w wyrażeniu wiązania szablonu po stronie klienta używanym do podświetlania pozycji menu bocznego. Escaping encji HTML po stronie serwera jest nieskuteczny w tym kontekście: przeglądarka dekoduje encje przed oceną treści przez framework po stronie klienta jako wyrażenie JavaScript. Zalogowany użytkownik panelu, który odwiedzi spreparowany URL, umożliwia wykonanie dowolnego skryptu w kontekście tej samej strony zarządzania, co umożliwia kradzież danych i nieautoryzowane działania w sesji ofiary.
- CVE-2026-79314Nieznane
Podatność na poziomą eskalację uprawnień w x-ui 0.3.2. Uwierzytelniony użytkownik może modyfikować konfiguracje przychodzących proxy innych użytkowników, w tym remark, port, protokół, ustawienia, stan włączenia, czas wygaśnięcia i limit ruchu, wysyłając żądanie odwołujące się do identyfikatora zasobu docelowego. Ścieżka aktualizacji nie weryfikuje, czy zasób docelowy należy do użytkownika sesji, co pozwala na nieautoryzowaną modyfikację danych między użytkownikami.
- CVE-2026-79317Średnie
Wada unieważniania sesji w x-ui 0.3.2. Pełny obiekt użytkownika jest przechowywany w podpisanym cookie po stronie klienta, a uwierzytelnianie nie weryfikuje ponownie sesji w bazie danych. Zmiana nazwy użytkownika lub hasła nie unieważnia wcześniej wydanych cookie, więc atakujący z ważnym cookie może nadal korzystać z panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
An improper access control vulnerability exists in x-ui 0.3.2. Any authenticated panel user can modify the xray configuration template through the settings interface and trigger a panel restart, causing the xray management gRPC service, which is bound to loopback by default, to be regenerated and bound to non-loopback addresses. This expands the reachable surface of the management interface beyond its intended local-only boundary.