CVE-2026-93769
WysokieCVSS 7.2Streszczenie
HumHub 1.18.5 jest podatny na przechowywane XSS, które pozwala użytkownikowi z uprawnieniem Manage Users (admin_manage_users) na wstrzyknięcie trwałego kodu HTML/JavaScript do tytułu kategorii pola profilu.
Ocena ryzyka
Atakujący z uprawnieniami delegowanego administratora może wykonać złośliwy skrypt w przeglądarce innych użytkowników, potencjalnie przejmując sesje lub wykonując działania w ich imieniu. Może to prowadzić do eskalacji uprawnień i naruszenia bezpieczeństwa kont.
Rekomendacja
Zaktualizuj HumHub do wersji, która naprawia tę podatność, lub ogranicz uprawnienia admin_manage_users do zaufanych osób. Dodatkowo rozważ wdrożenie mechanizmów sanityzacji danych wejściowych.
Inne podatności w HumHub
Zobacz wszystkie- CVE-2026-18430Wysokie
HumHub 1.18.4 zawiera podatność na przechowywany cross-site scripting (XSS) w przepływie powiadomień o usunięciu komentarza. Administrator przestrzeni może usunąć komentarz innego użytkownika, wybrać opcję powiadomienia autora i umieścić HTML/JavaScript w polu przyczyny usunięcia.
- CVE-2026-18756Wysokie
HumHub Community Edition 1.18.4 zawiera odzwierciedloną podatność XSS w przepływie składania wniosku o członkostwo w przestrzeni. Atakujący może umieścić sterowaną przez siebie konfigurację przycisku w parametrze options ciągu zapytania formularza request-membership-form, nakłonić uwierzytelnionego nie-członka do przesłania legalnego formularza i spowodować, że serwer zwróci JavaScript zawierający kod atakującego.
- CVE-2026-18526Wysokie
HumHub Community Edition 1.18.4 i 1.18.4-pl1 zawierają podatność na trwały XSS w przepływie renderowania potwierdzenia oEmbed.
- CVE-2026-47657Wysokie
Podatność w HumHub (sieć społecznościowa dla firm) pozwala każdemu uwierzytelnionemu użytkownikowi na usunięcie wszystkich członków z dowolnej przestrzeni (Space), niezależnie od jego roli. Brakuje kontroli dostępu w kontrolerze zarządzania członkami.
Oryginalny opis (angielski, źródło NVD)
HumHub 1.18.5 is affected by a stored cross-site scripting (XSS) vulnerability that allows any user holding the delegated, non-system-administrator Manage Users permission (admin_manage_users) to inject persistent HTML/JavaScript into a Profile Field Category title.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS