CVE-2026-84232

ŚrednieCVSS 5.4

Opublikowano: 01/09/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

W aplikacji serwującej treści pulpcore występuje błąd polegający na tym, że pliki przesłane do repozytoriów typu Pulp są serwowane z ich oryginalnym typem treści (np. text/html dla plików .html, image/svg+xml dla plików .svg) i bez nagłówka Content-Disposition: attachment, gdy używane jest lokalne przechowywanie plików. Uwierzytelniony użytkownik lub atakujący z uprawnieniami do przesyłania treści może przesłać specjalnie spreparowany plik HTML lub SVG zawierający JavaScript, który wykonuje się w przeglądarce każdego użytkownika odwiedzającego URL pliku, co prowadzi do trwałego XSS w kontekście aplikacji hostującej.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków w kontekście aplikacji.

Rekomendacja

Zaleca się aktualizację pulpcore do wersji zawierającej poprawkę, która wymusza odpowiednie nagłówki Content-Disposition i typy treści, oraz ograniczenie uprawnień do przesyłania plików tylko dla zaufanych użytkowników.

Inne podatności w pulpcore

CVE-2026-12701Krytyczne
W pulpcore znaleziono podatność polegającą na przechodzeniu poza katalog (path traversal). Funkcja relative_path_validator sprawdza tylko, czy ścieżki nie zaczynają się od "/", ale nie blokuje sekwencji takich jak "../". Uwierzytelniony administrator może utworzyć relative_path zawierający sekwencje przechodzenia, co pozwala na zapis dowolnego pliku w dowolnej lokalizacji zapisywalnej przez użytkownika usługi Pulp.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in pulpcore's content serving application. Files uploaded to Pulp file-type repositories are served with their original content type (e.g., text/html for .html files, image/svg+xml for .svg files) and without a Content-Disposition: attachment header when using local filesystem storage. An authenticated user or attacker with content upload permissions can upload a specially crafted HTML or SVG file containing JavaScript, which executes in the browser of any user who visits the file URL, resulting in stored cross-site scripting (XSS) in the context of the host application.