CVE-2026-84232
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W aplikacji serwującej treści pulpcore występuje błąd polegający na tym, że pliki przesłane do repozytoriów typu Pulp są serwowane z ich oryginalnym typem treści (np. text/html dla plików .html, image/svg+xml dla plików .svg) i bez nagłówka Content-Disposition: attachment, gdy używane jest lokalne przechowywanie plików. Uwierzytelniony użytkownik lub atakujący z uprawnieniami do przesyłania treści może przesłać specjalnie spreparowany plik HTML lub SVG zawierający JavaScript, który wykonuje się w przeglądarce każdego użytkownika odwiedzającego URL pliku, co prowadzi do trwałego XSS w kontekście aplikacji hostującej.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków w kontekście aplikacji.
Rekomendacja
Zaleca się aktualizację pulpcore do wersji zawierającej poprawkę, która wymusza odpowiednie nagłówki Content-Disposition i typy treści, oraz ograniczenie uprawnień do przesyłania plików tylko dla zaufanych użytkowników.
Inne podatności w pulpcore
Zobacz wszystkie- CVE-2026-12701Krytyczne
W pulpcore znaleziono podatność polegającą na przechodzeniu poza katalog (path traversal). Funkcja relative_path_validator sprawdza tylko, czy ścieżki nie zaczynają się od "/", ale nie blokuje sekwencji takich jak "../". Uwierzytelniony administrator może utworzyć relative_path zawierający sekwencje przechodzenia, co pozwala na zapis dowolnego pliku w dowolnej lokalizacji zapisywalnej przez użytkownika usługi Pulp.
- CVE-2026-90959Wysokie
W pulpcore znaleziono podatność na przechodzenie po ścieżkach. API przesyłania treści akceptuje parametr 'file_url', który pozwala użytkownikom z uprawnieniami do repozytoriów plików na określenie lokalnego adresu URL pliku do pobrania przez Pulp. Walidacja schematu URL używa porównania prefiksu, które odrzuca tylko adresy zaczynające się od 'file://', ale parser URL w Pythonie rozpoznaje schemat 'file:' bez podwójnych ukośników, co powoduje niezgodność między walidacją a wysyłką do pobierania. Uwierzytelniony użytkownik z niskimi uprawnieniami może użyć spreparowanego URL z sekwencjami przechodzenia po ścieżkach, aby odczytać dowolny plik dostępny dla procesu serwera Pulp. W środowiskach z Pulp Container umożliwia to odczytanie klucza prywatnego podpisującego tokeny rejestru i fałszowanie tokenów, dając nieautoryzowany dostęp do wszystkich prywatnych repozytoriów kontenerów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in pulpcore's content serving application. Files uploaded to Pulp file-type repositories are served with their original content type (e.g., text/html for .html files, image/svg+xml for .svg files) and without a Content-Disposition: attachment header when using local filesystem storage. An authenticated user or attacker with content upload permissions can upload a specially crafted HTML or SVG file containing JavaScript, which executes in the browser of any user who visits the file URL, resulting in stored cross-site scripting (XSS) in the context of the host application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS