CVE-2026-80190
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W Apache Allura do wersji 1.20.0 włącznie występuje podatność na przechowywany atak XSS poprzez repozytoria SVN. Repozytoria Git nie są znane jako podatne. Ryzyko jest prawdopodobnie ograniczone przez domyślne nagłówki CSP.
Ocena ryzyka
Atakujący może wstrzyknąć trwały skrypt do treści wyświetlanych innym użytkownikom, co może prowadzić do kradzieży danych lub przejęcia sesji, choć CSP może ograniczać skutki.
Rekomendacja
Zaktualizuj Apache Allura do wersji 1.21.0, która zawiera poprawkę.
Inne podatności w Apache Allura
Zobacz wszystkie- CVE-2026-80181Krytyczne
Webhooki Apache Allura są podatne na atak typu Server-Side Request Forgery (SSRF). Problem dotyczy wersji do 1.20.0 włącznie i został naprawiony w wersji 1.21.0.
- CVE-2026-73240Krytyczne
Specjalnie spreparowane dane wejściowe mogą prowadzić do wstrzyknięcia argumentów do git w Apache Allura przed wersją 1.19.1.
- CVE-2026-69223Krytyczne
Webhooki Apache Allura są podatne na atak typu Server-Side Request Forgery (SSRF). Problem dotyczy wersji przed 1.19.1. Zaleca się aktualizację do wersji 1.19.1, która zawiera poprawkę.
- CVE-2026-81270Wysokie
Apache Allura do wersji 1.20.0 włącznie ma podatność na ujawnienie niepublicznych informacji poprzez wyszukiwanie. Problem został naprawiony w wersji 1.21.0.
- CVE-2026-80180Średnie
Apache Allura do wersji 1.20.0 włącznie zawiera podatność na trwały atak XSS (Stored XSS) poprzez przetwarzanie HTML w Markdown. Problem został naprawiony w wersji 1.21.0.
- CVE-2026-75099Średnie
Nieuwierzytelnione ujawnienie REST niektórych elementów treści w Apache Allura. Problem dotyczy Apache Allura do wersji 1.19.1 włącznie.
- CVE-2026-73239Średnie
Niebezpieczny bezpośredni odwołanie do obiektu (IDOR) z powodu braku kontroli uprawnień dla wielu typów Artifact w Apache Allura przed wersją 1.19.1.
- CVE-2026-73238Średnie
Podatność XSS w wyświetlaniu kodu w Apache Allura przed wersją 1.19.1.
- CVE-2026-73237Średnie
Podatność XSS w obsłudze Markdown w Apache Allura od wersji 1.10.0 przed 1.19.1.
Oryginalny opis (angielski, źródło NVD)
Apache Allura: stored XSS via SVN code repositories. Git repositories are not known to be affected. The vulnerability is likely mitigated via default CSP headers. This issue affects Apache Allura: through 1.20.0. Users are recommended to upgrade to version 1.21.0, which fixes the issue.