CVE-2026-79317
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wada unieważniania sesji w x-ui 0.3.2. Pełny obiekt użytkownika jest przechowywany w podpisanym cookie po stronie klienta, a uwierzytelnianie nie weryfikuje ponownie sesji w bazie danych. Zmiana nazwy użytkownika lub hasła nie unieważnia wcześniej wydanych cookie, więc atakujący z ważnym cookie może nadal korzystać z panelu administracyjnego.
Ocena ryzyka
Utrzymanie dostępu do panelu administracyjnego po rotacji poświadczeń, co może prowadzić do nieautoryzowanych zmian.
Rekomendacja
Zaktualizuj x-ui do wersji z poprawką. Wymuś ponowną walidację sesji po zmianie poświadczeń.
Inne podatności w x-ui
Zobacz wszystkie- CVE-2026-79315Średnie
W x-ui 0.3.2 istnieje odbita podatność cross-site scripting (XSS). Interfejs zarządzania odzwierciedla surowy URI żądania w wyrażeniu wiązania szablonu po stronie klienta używanym do podświetlania pozycji menu bocznego. Escaping encji HTML po stronie serwera jest nieskuteczny w tym kontekście: przeglądarka dekoduje encje przed oceną treści przez framework po stronie klienta jako wyrażenie JavaScript. Zalogowany użytkownik panelu, który odwiedzi spreparowany URL, umożliwia wykonanie dowolnego skryptu w kontekście tej samej strony zarządzania, co umożliwia kradzież danych i nieautoryzowane działania w sesji ofiary.
- CVE-2026-79314Nieznane
Podatność na poziomą eskalację uprawnień w x-ui 0.3.2. Uwierzytelniony użytkownik może modyfikować konfiguracje przychodzących proxy innych użytkowników, w tym remark, port, protokół, ustawienia, stan włączenia, czas wygaśnięcia i limit ruchu, wysyłając żądanie odwołujące się do identyfikatora zasobu docelowego. Ścieżka aktualizacji nie weryfikuje, czy zasób docelowy należy do użytkownika sesji, co pozwala na nieautoryzowaną modyfikację danych między użytkownikami.
- CVE-2026-79316Wysokie
Podatność nieprawidłowej kontroli dostępu w x-ui 0.3.2. Każdy uwierzytelniony użytkownik panelu może zmodyfikować szablon konfiguracji xray i wywołać restart panelu, co powoduje, że usługa gRPC zarządzania xray, domyślnie związana z loopbackiem, zostaje wygenerowana i związana z adresami nie-loopbackowymi. Rozszerza to zasięg interfejsu zarządzania poza zamierzone granice lokalne.
Oryginalny opis (angielski, źródło NVD)
A session invalidation flaw exists in x-ui 0.3.2. The full user object is stored in a client-side signed cookie, and authentication only checks that a user object can be retrieved from the cookie without re-validating against the database or any session version. When an administrator changes the username or password, previously issued session cookies are not revoked, so an attacker who holds a pre-change admin cookie can continue accessing and operating the management interface after the credentials have been rotated.