CVE-2026-82089
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Aplikacja wallabag (fr.gaulupeau.apps.InThePoche) dla systemu Android w wersji do 2.6.0 zawiera podatność XSS, ponieważ dane z /api/entries są ładowane do WebView.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w kontekście aplikacji, co może prowadzić do kradzieży danych lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj aplikację wallabag do najnowszej wersji, która zawiera poprawki bezpieczeństwa, lub unikaj korzystania z podatnych wersji.
Inne podatności w wallabag
Zobacz wszystkie- CVE-2026-82081Średnie
wallabag w wersjach od 2 do 2.6.14 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu nieprawidłowego przetwarzania spreparowanego pola tytułu lub treści podczas eksportu do PDF.
- CVE-2023-4455Średnie
W repozytorium GitHub wallabag/wallabag przed wersją 2.6.3 występuje podatność typu Cross-Site Request Forgery (CSRF). Umożliwia to atakującym wysyłanie nieautoryzowanych żądań w imieniu użytkowników.
- CVE-2023-4454Średnie
W repozytorium GitHub wallabag/wallabag przed wersją 2.6.3 występuje podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Oryginalny opis (angielski, źródło NVD)
The wallabag (aka fr.gaulupeau.apps.InThePoche) application through 2.6.0 for Android allows XSS because /api/entries data is loaded into a WebView.