CVE-2026-8661
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 — wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność typu Server-Side Cross-Site Scripting (XSS) i Server-Side Request Forgery (SSRF) w akcji markdown_to_pdf wtyczki Markdown dla InsightConnect firmy Rapid7 w wersji 3.1.4 i wcześniejszych na systemie Linux. Zdalny atakujący może wykonać JavaScript po stronie serwera oraz wysyłać dowolne żądania HTTP na zewnątrz poprzez spreparowaną treść osadzoną w danych wejściowych Markdown. Silnik renderowania PDF nie ogranicza wykonywania skryptów ani dostępu do sieci zewnętrznej.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu JavaScript na serwerze oraz wysyłania nieautoryzowanych żądań HTTP, co może prowadzić do wycieku danych, eskalacji uprawnień lub ataków na wewnętrzne zasoby sieciowe.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Markdown do wersji nowszej niż 3.1.4 oraz wdrożenie mechanizmów walidacji i sanityzacji danych wejściowych Markdown, a także ograniczenie dostępu sieciowego dla procesu renderowania PDF.
Oryginalny opis (angielski, źródło NVD)
Server-Side Cross-Site Scripting and Server-Side Request Forgery vulnerability in the markdown_to_pdf action of Rapid7 InsightConnect Markdown Plugin version 3.1.4 and earlier on Linux allows remote attackers to execute JavaScript server-side and make arbitrary outbound HTTP requests via crafted content embedded in Markdown input. The PDF rendering engine does not restrict script execution or outbound network access.