CVE-2023-26961

ŚrednieCVSS 4.8

Opublikowano: 08/08/2023(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

Alteryx Server 2022.1.1.42590 nie weryfikuje typów przesyłanych plików. Luka umożliwia atakującym przesyłanie dowolnych plików (np. JavaScript dla trwałego XSS) przez pole 'type' w dokumencie JSON w żądaniu PUT /gallery/api/media.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji, wycieku danych lub przejęcia konta administratora.

Rekomendacja

Zaktualizuj Alteryx Server do najnowszej wersji, która zawiera poprawkę bezpieczeństwa. W międzyczasie ogranicz dostęp do endpointu /gallery/api/media tylko dla zaufanych użytkowników.

Oryginalny opis (angielski, źródło NVD)

Alteryx Server 2022.1.1.42590 does not employ file type verification for uploaded files. This vulnerability allows attackers to upload arbitrary files (e.g., JavaScript content for stored XSS) via the type field in a JSON document within a PUT /gallery/api/media request.