GHSA-2464-fhr4-w9xw

Wykryto i naprawiono kilka podatności w zależności libvips, z których dwie mają wysoki poziom dotkliwości w CVSSv4. Wersje sharp przed 0.35.0 przetwarzające niezaufane dane są podatne.

Sharp przed wersją 0.35.0 zawiera wersję libvips dotkniętą wieloma podatnościami (CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591 i CVE-2026-69242) w dekoderach obrazów GIF, TIFF i VIPS. Atakujący mogą dostarczyć spreparowane pliki GIF, TIFF lub VIPS do aplikacji używających sharp do przetwarzania niezaufanych danych wejściowych.

Sharp przed wersją 0.35.4 zawiera podatną zależność libheif, która pozwala atakującym na potencjalne zdalne wykonanie kodu w systemie Linux opartym na glibc poprzez dostarczenie spreparowanych obrazów. Atakujący mogą przesłać złośliwe dane wejściowe AVIF/HEIF do aplikacji przetwarzających niezaufane obrazy za pomocą sharp.

Sharp przed wersją 0.35.5 zawiera zależność librsvg dotkniętą podatnością związaną z pamięcią (CVE-2026-96889), która w określonych warunkach środowiskowych może prowadzić do wykonania kodu w systemie Linux opartym na glibc. Atakujący może dostarczyć spreparowany obraz SVG, który po zdekodowaniu przez sharp za pośrednictwem librsvg może spowodować wykonanie dowolnego kodu.

Sharp, pakiet Laravel do zarządzania treścią, w wersjach od 9.0.0 do 9.22.3 nie egzekwuje kontroli dostępu w endpointach create i store funkcji Quick Creation Command. Uwierzytelniony użytkownik Sharp bez uprawnień do tworzenia encji może ominąć autoryzację i tworzyć nowe rekordy dla encji z skonfigurowanym handlerem Quick Creation Command.

Sharp, framework CMS dla Laravela, przed wersją 9.22.0 udostępnia ogólny endpoint do pobierania plików, który autoryzuje dostęp tylko do instancji encji, ale odczytuje docelowy dysk i ścieżkę z parametrów żądania. Uwierzytelniony użytkownik Sharp, który może wyświetlić jeden prawidłowy rekord, może go użyć jako kotwicy autoryzacji do pobrania niepowiązanych obiektów z dysków Laravel Storage.

Sharp to framework do zarządzania treścią zbudowany dla Laravela jako pakiet. Przed wersją 9.11.1 odkryto podatność Cross-Site Scripting (XSS) w code16/sharp podczas renderowania treści za pomocą komponentu SharpShowTextField. W podatnych wersjach wyrażenia owinięte w {{ & }} były ewaluowane przez Vue, co pozwalało atakującym wstrzyknąć dowolny JavaScript lub HTML wykonujący się w przeglądarce podczas wyświetlania pola. Problem został naprawiony w wersji 9.11.1.