CVE-2026-82838
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Domyślny obraz Dockera dla Venueless nie zapewniał, że przesłane pliki SVG nie będą zawierać wykonywalnego kodu JavaScript. Obecnie ustawiono prawidłową politykę bezpieczeństwa treści (CSP).
Ocena ryzyka
Brak CSP może pozwolić na wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do ataków XSS i kradzieży danych. Dotyczy to wszystkich wdrożeń korzystających z domyślnego obrazu.
Rekomendacja
Zaleca się zaktualizowanie obrazu Dockera Venueless do wersji z ustawioną polityką CSP. Należy również rozważyć dodatkowe zabezpieczenia, takie jak walidacja przesyłanych plików SVG.
Inne podatności w Venueless
Zobacz wszystkie- CVE-2026-5599Wysokie
Podatność w systemie venueless pozwala użytkownikowi z dostępem API i uprawnieniem 'manage users' w dowolnym świecie na wywołanie usunięcia kont użytkowników w innych światach.
- CVE-2026-4982Wysokie
Użytkownik z uprawnieniem "update world" w dowolnym świecie Venueless może wyeksfiltrować wiadomości czatu z bezpośrednich wiadomości lub kanałów w innych światach na tym samym serwerze z powodu błędu w funkcji raportowania. Wykorzystanie jest ograniczone koniecznością znajomości wewnętrznego UUID kanału.
Oryginalny opis (angielski, źródło NVD)
The default docker image shipped for Venueless did not properly ensure that uploaded SVG files could not be delivered with executable JavaScript content. A valid Content Security Policy is now set.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS