CVE-2026-8152
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Unblu Spark zawiera podatność na otwarte przekierowanie, którą można eskalować do ataku XSS opartego na DOM. Gdy komponent jest wdrożony z określoną konfiguracją, działa w tym samym pochodzeniu co aplikacja hostująca, co pozwala atakującemu na pełny dostęp do jej zasobów.
Ocena ryzyka
Ryzyko jest krytyczne dla wdrożeń on-premises z tą konfiguracją, ponieważ atakujący może przejąć ciasteczka, DOM i API aplikacji hostującej, co prowadzi do całkowitej kompromitacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Unblu Spark do wersji, która usuwa tę podatność, oraz przegląd konfiguracji siteEmbeddedSetup.
Oryginalny opis (angielski, źródło NVD)
Unblu Spark contains an open redirect vulnerability that can be escalated to a DOM-based cross-site scripting (XSS) attack. When Unblu Spark is deployed with com.unblu.identifier.siteEmbeddedSetup=true, it runs in the same origin as the host application. Any JavaScript injected through this vulnerability therefore executes with full access to the host application's cookies, DOM, and same-origin APIs — an attacker can reach all resources of the host application, not just Unblu's. This expanded blast radius is the reason on-premises deployments using this configuration are rated CRITICAL.