CVE-2026-125362

NiskieCVSS 3.1

Opublikowano: 10/11/2026(UTC)Przetłumaczono: 10/11/2026(UTC)NVD NIST

Streszczenie

Seahub do wersji 14.0.10 zawiera podatność związaną ze słabą losowością w funkcji MultiShareLinksBatch.post(). Hasła do linków udostępniania zbiorczego są generowane przy użyciu niekryptograficznej funkcji Python random.choices(), co pozwala uwierzytelnionym użytkownikom odtworzyć stan generatora Mersenne Twister i przewidzieć hasła innych użytkowników.

Ocena ryzyka

Atakujący z uprawnieniami do tworzenia linków udostępniania może przewidzieć hasła do linków innych użytkowników, uzyskując nieautoryzowany dostęp do udostępnianych zasobów. Stanowi to poważne zagrożenie dla poufności danych.

Rekomendacja

Zaktualizować Seahub do wersji nowszej niż 14.0.10, w której użyto kryptograficznie bezpiecznego generatora losowego. Do czasu aktualizacji ograniczyć możliwość tworzenia linków zbiorczych lub wymusić dodatkowe uwierzytelnianie dostępu do udostępnianych zasobów.

Inne podatności w Seahub

CVE-2026-56768Wysokie
Podatność w Seahub przed wersją 13.0.23 pozwala nieuwierzytelnionym użytkownikom na ominięcie mechanizmu SHARE_LINK_LOGIN_REQUIRED w punkcie końcowym GET /api/v2.1/share-link-zip-task/. Atakujący posiadający token udostępnionego folderu może uzyskać token zip serwera plików i pobrać całe drzewo katalogów.

Oryginalny opis (angielski, źródło NVD)

Seahub through 14.0.10 contains a weak randomness vulnerability in MultiShareLinksBatch.post() that generates batch share link passwords using Python's non-cryptographic random.choices(). Authenticated users permitted to create share links can request many generated passwords via the multi-share-links batch endpoint, recover the Mersenne Twister state, and predict other users' share link passwords.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS