CVE-2026-85183

KrytyczneCVSS 9.3

Opublikowano: 03/09/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Streszczenie

Taipy konfiguruje swój serwer socket.io z wildcard CORS origin i włączoną flagą poświadczeń, co pozwala dowolnej stronie internetowej na nawiązywanie poświadczonych połączeń WebSocket z aplikacjami ofiar. Atakujący mogą otwierać sesje socket.io z dowolnych domen i wywoływać modyfikacje zmiennych stanu oraz wywołania zwrotne akcji bez ochrony CSRF.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do aplikacji i manipulację jej stanem przez złośliwe strony internetowe, co może prowadzić do naruszenia integralności danych i przejęcia kontroli nad sesjami użytkowników.

Rekomendacja

Zaleca się skonfigurowanie serwera socket.io z ograniczeniem CORS do zaufanych domen oraz wyłączenie flagi poświadczeń, a także wdrożenie mechanizmów CSRF dla połączeń WebSocket.

Inne podatności w Taipy

CVE-2026-48544Wysokie
Podatność typu path traversal w Taipy 4.1.1 (naprawiona w commicie 129fd40) występuje w metodzie ElementLibrary.get_resource() w pliku taipy/gui/extension/library.py. Niezautoryzowani atakujący mogą ominąć niekompletną kontrolę ścieżki opartą na str.startswith() bez separatora końcowego, wysyłając spreparowane żądania GET z segmentami path traversal, co pozwala na dostęp do plików poza zamierzonym katalogiem biblioteki.

Oryginalny opis (angielski, źródło NVD)

Taipy configures its socket.io server with wildcard CORS origin and credential flag enabled, allowing any web page to establish credentialed WebSocket connections to victim applications. Attackers can open socket.io sessions from arbitrary domains and invoke state variable modifications and action callbacks without CSRF protection.