Podatności alf.io
3 znanych podatności CVE w alf.io, przetłumaczonych i ocenionych.
- CVE-2026-50165Wysokie
W alf.io przed wersją 2.0-M5-2605 występuje problem z kontrolą dostępu, który pozwala właścicielowi organizacji na odczyt sekretów konfiguracyjnych na poziomie systemu poprzez endpointy 'single configuration' z zakresu organizacji lub wydarzenia, w tym klucza API systemu.
- CVE-2026-41412Średnie
Podatność w alf.io (system rezerwacji biletów) przed wersją 2.0-M5-2606 polega na tym, że rozszerzenie sandbox wstrzykuje klienta HTTP (`simpleHttpClient`) do skryptów. Metoda `postFileAndSaveResponse()` akceptuje dowolną ścieżkę pliku i odczytuje go bez walidacji, co pozwala złośliwemu skryptowi na odczyt i eksfiltrację dowolnego pliku na serwer atakującego.
- CVE-2026-35482Wysokie
Podatność sandbox escape w alf.io, systemie rezerwacji biletów open source, umożliwia uwierzytelnionemu administratorowi wykonanie dowolnych poleceń systemu operacyjnego na serwerze poprzez mechanizm rozszerzeń.