CVE-2026-119764
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Mythic w wersjach od 3.2.16 do 3.4.0.61 zawiera lukę przechowywanego cross-site scripting, która pozwala atakującym kontrolującym pliki docelowego punktu końcowego na uruchomienie JavaScriptu w kontekście interfejsu Mythic poprzez umieszczenie HTML w plikach o nazwie .pdf. Gdy operator pobierze plik i kliknie Podgląd mediów, zawartość HTML jest renderowana w tej samej domenie, co pozwala na kradzież tokenów JWT z localStorage i uzyskanie pełnego dostępu do GraphQL i REST.
Ocena ryzyka
Atakujący może przejąć sesję operatora Mythic i uzyskać pełny dostęp do interfejsów GraphQL i REST, co może prowadzić do poważnej kompromitacji platformy.
Rekomendacja
Zaktualizuj Mythic do wersji nowszej niż 3.4.0.61 i unikaj podglądu niezaufanych plików w interfejsie.
Inne podatności w Mythic
Zobacz wszystkie- CVE-2026-57953Średnie
Podatność w Mythic przed wersją 3.4.0.60 umożliwia uwierzytelnionym użytkownikom z rolą widza (spectator) ominięcie autoryzacji i wykonanie nieautoryzowanych operacji zapisu. Atakujący mogą wykorzystać punkt końcowy eventing_import_automatic_webhook, który jest błędnie skonfigurowany jako dostępny dla roli widza, do tworzenia i usuwania przepływów pracy automatyzacji.
- CVE-2026-57952Średnie
Mythic przed wersją 3.4.0.60 zawiera podatność na obejście autoryzacji w czterech punktach końcowych REST (c2profile_config_check_webhook, c2profile_redirect_rules_webhook, c2profile_get_ioc_webhook, c2profile_sample_message_webhook), które nie weryfikują własności ładunku. Operator w jednej operacji może wywołać te punkty końcowe ze znanym UUID ładunku z innej operacji, aby uzyskać dostęp do konfiguracji profilu C2 tej operacji, w tym kluczy szyfrowania i parametrów wywołania zwrotnego.
- CVE-2026-57951Średnie
Podatność w Mythic przed wersją 3.4.0.60 wynika z uszkodzonego filtra uprawnień Hasura na tabeli payload_build_step, który zawiera zawsze spełniony warunek _or, omijający kontrolę dostępu opartą na operacjach. Uwierzytelnieni operatorzy i widzowie mogą odczytywać dane z payload_build_step, w tym step_stdout, step_stderr, step_name i step_description, dla wszystkich operacji na serwerze.
Oryginalny opis (angielski, źródło NVD)
Mythic 3.2.16 through 3.4.0.61 contains a stored cross-site scripting vulnerability that allows attackers controlling target endpoint files to run JavaScript in the Mythic UI origin by planting HTML in .pdf-named files. When an operator downloads the file and clicks Preview Media, content-sniffed HTML from /direct/view renders same-origin, stealing localStorage JWTs for full GraphQL and REST access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS