CVE-2025-55944

ŚrednieCVSS 6.1

Opublikowano: 03/09/2025(UTC)Zaktualizowano: 07/11/2026(UTC)Przetłumaczono: 07/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Slink v1.4.9 pozwala na przechowywane cross-site scripting (XSS) poprzez spreparowane przesyłanie plików SVG. Gdy użytkownik wyświetli udostępniony obraz w nowej karcie przeglądarki, osadzony JavaScript zostaje wykonany.

Ocena ryzyka

Podatność dotyczy zarówno uwierzytelnionych, jak i nieuwierzytelnionych użytkowników, co może prowadzić do kradzieży sesji lub innych ataków w kontekście przeglądarki ofiary.

Rekomendacja

Zaktualizuj Slink do wersji, która poprawnie sanityzuje pliki SVG lub uniemożliwia osadzanie w nich skryptów, oraz wdróż politykę bezpieczeństwa treści (CSP).

Inne podatności w Slink

CVE-2026-85605Średnie
Slink przed wersją 1.12.3 nieprawidłowo autoryzuje dostęp do punktów końcowych komentarzy obrazów, co pozwala nieuwierzytelnionym atakującym na odczyt wątków komentarzy przez GET /api/image/{imageId}/comments oraz subskrypcje server-sent-events. Atakujący, którzy zdobędą identyfikatory obrazów poza pasmem, mogą pobrać pełne wątki komentarzy na publicznych obrazach i subskrybować aktualizacje komentarzy na żywo bez uwierzytelnienia lub kontroli autoryzacji.

Oryginalny opis (angielski, źródło NVD)

Slink v1.4.9 allows stored cross-site scripting (XSS) via crafted SVG uploads. When a user views the shared image in a new browser tab, the embedded JavaScript executes. The issue affects both authenticated and unauthenticated users.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS