Podatności Dashy
3 znanych podatności CVE w Dashy, przetłumaczonych i ocenionych.
- CVE-2026-54443Średnie
W Dashy w wersjach od 1.9.4 do 3.2.0, widget RSS nie oczyszcza wartości linków z kanałów RSS przed wyświetleniem ich jako atrybutów href w kotwicach. Pozwala to atakującemu na dostarczenie kanału z linkiem javascript:, który po kliknięciu wykonuje kod w kontekście Dashy.
- CVE-2026-46485Wysokie
Dashy przed wersją 4.0.8 zawiera podatność, która pozwala nieuwierzytelnionym użytkownikom lub uwierzytelnionym użytkownikom bez uprawnień administratora na zapisywanie zmian w głównym pliku konfiguracyjnym config.yaml za pomocą funkcji zapisywania konfiguracji, pomimo skonfigurowanych uprawnień. Umożliwia to nieautoryzowaną modyfikację konfiguracji dashboardu i potencjalne zakłócenie działania usługi.
- CVE-2026-55592Niskie
Podatność w Dashy przed wersją 4.3.7 pozwala na wykonanie kodu JavaScript w kontekście pochodzenia aplikacji poprzez przekazanie złośliwego adresu URL w parametrze 'url' widoku workspace. Atakujący może wykorzystać to do kradzieży danych przeglądarki, manipulacji DOM lub wysyłania żądań w imieniu ofiary.