CVE-2026-116004
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wykryto podatność bezpieczeństwa w onyx-dot-app Onyx do wersji 5.0.0. Dotyczy ona nieznanej funkcji w pliku web/src/app/craft/components/output-panel/PreviewTab.tsx i prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność XSS może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, co grozi kradzieżą sesji lub danych. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj Onyx do wersji zawierającej poprawkę lub wdroż odpowiednie nagłówki bezpieczeństwa i walidację danych wejściowych. Do czasu aktualizacji rozważ ograniczenie dostępu do podatnego komponentu.
Inne podatności w Onyx
Zobacz wszystkie- CVE-2026-71424Krytyczne
Onyx to platforma AI o otwartym kodzie źródłowym. Przed wersjami 3.1.10, 3.2.14 i 4.0.0, endpointy GET /api/mcp/servers oraz GET /api/mcp/servers/persona/{persona_id} ujawniają nagłówek OAuth Authorization innego użytkownika, ponieważ OnyxTokenStorage.set_tokens i OnyxTokenStorage.set_client_info w backend/onyx/server/features/mcp/api.py kopiują tokeny per użytkownik do wspólnego wiersza MCPConnectionConfig, a _db_mcp_server_to_api_mcp_server zwraca ten wiersz przez auth_template.headers każdemu użytkownikowi z dostępem BASIC_ACCESS. Problem został naprawiony w wersjach 3.1.10, 3.2.14 i 4.0.0.
- CVE-2026-85700Średnie
Onyx 4.6.6 nie ogranicza prawidłowo dostępu do poświadczeń narzędzi niestandardowych przechowywanych w custom_headers, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt kluczy API zdefiniowanych przez administratora. Atakujący z podstawowym uwierzytelnieniem mogą wywołać GET /tool/{tool_id} lub GET /tool, aby uzyskać jawne nagłówki autoryzacji i poświadczenia API stron trzecich, a następnie użyć ich do bezpośredniego dostępu do zewnętrznych API.
- CVE-2026-63178Średnie
Onyx to platforma AI o otwartym kodzie źródłowym. Przed wersją 4.3.0 w wersji Enterprise brakuje wymuszenia walidacji uprawnień kuratora w punktach końcowych PATCH /manage/admin/user-group/{user_group_id} i POST /manage/admin/user-group/{user_group_id}/add-users, co pozwala kuratorowi dodawać konta do dowolnych grup i uzyskiwać dostęp do dokumentów. Problem naprawiono w wersji 4.3.0.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in onyx-dot-app Onyx up to 5.0.0. Impacted is an unknown function of the file web/src/app/craft/components/output-panel/PreviewTab.tsx. The manipulation leads to cross site scripting. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS