CVE-2026-26957
Niskie ryzyko· EPSS 19%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność CVE-2026-26957 została odrzucona, ponieważ zachowanie opisane w rekordzie CVE jest zamierzonym działaniem. Aplikacja Libredesk jest aplikacją jednego najemcy, a konfiguracja URL-i webhooków wymaga uprawnień administratora, które nie są przyznawane domyślnie.
Ocena ryzyka
Nie ma ryzyka dla organizacji, ponieważ funkcjonalność webhooków działa zgodnie z zamierzeniem, a dostęp do niej mają tylko użytkownicy z odpowiednimi uprawnieniami.
Rekomendacja
Zaleca się, aby administratorzy upewnili się, że uprawnienia do konfiguracji webhooków są przyznawane tylko zaufanym użytkownikom.
Inne podatności w Libredesk
Zobacz wszystkie- CVE-2026-111168Średnie
LibreDesk przed wersją 2.9.0-rc.8 zawiera podatność stored XSS, która pozwala uwierzytelnionym agentom wykonać skrypt przez przesłanie plików SVG z nieprawidłowymi parametrami Content-Type. Atakujący mogą przesłać SVG typu 'image/svg+xml; x' przez /api/v1/media, aby GET /uploads/{uuid} serwował go inline bez sandboxa, uruchamiając skrypt w sesji przeglądającego agenta lub administratora.
- CVE-2025-68927Średnie
LibreDesk przed wersją 0.8.6-beta jest podatny na wstrzykiwanie trwałego HTML w funkcji notatek kontaktowych. Atakujący może wstrzyknąć dowolne elementy HTML, takie jak formularze i obrazy, które są przechowywane i renderowane bez odpowiedniej sanityzacji.
Oryginalny opis (angielski, źródło NVD)
Rejected reason: ** REJECT ** DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: Upon further research, the maintainer determined that the behavior described by the CVE record is intended behavior. Per the GitHub Security Advisory: "Libredesk is a single-tenant, self-hosted application. Configuring outbound webhook URLs requires an admin-only permission that is not granted by default - the operator must explicitly assign it. Anyone holding this permission already has full administrative control over the application, and outbound HTTP to operator-chosen URLs is the documented purpose of the webhook feature. This is working as designed." Notes: none.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS