CVE-2026-82838
ŚrednieCVSS 6.4Streszczenie
Domyślny obraz Dockera dla Venueless nie zapewniał, że przesłane pliki SVG nie będą zawierać wykonywalnego kodu JavaScript. Obecnie ustawiono prawidłową politykę bezpieczeństwa treści (CSP).
Ocena ryzyka
Brak CSP może pozwolić na wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do ataków XSS i kradzieży danych. Dotyczy to wszystkich wdrożeń korzystających z domyślnego obrazu.
Rekomendacja
Zaleca się zaktualizowanie obrazu Dockera Venueless do wersji z ustawioną polityką CSP. Należy również rozważyć dodatkowe zabezpieczenia, takie jak walidacja przesyłanych plików SVG.
Inne podatności w Venueless
Zobacz wszystkie- CVE-2026-4982Wysokie
Użytkownik z uprawnieniem "update world" w dowolnym świecie Venueless może wyeksfiltrować wiadomości czatu z bezpośrednich wiadomości lub kanałów w innych światach na tym samym serwerze z powodu błędu w funkcji raportowania. Wykorzystanie jest ograniczone koniecznością znajomości wewnętrznego UUID kanału.
- CVE-2026-5599Wysokie
Podatność w systemie venueless pozwala użytkownikowi z dostępem API i uprawnieniem 'manage users' w dowolnym świecie na wywołanie usunięcia kont użytkowników w innych światach.
Oryginalny opis (angielski, źródło NVD)
The default docker image shipped for Venueless did not properly ensure that uploaded SVG files could not be delivered with executable JavaScript content. A valid Content Security Policy is now set.