CVE-2026-35163
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.
Ocena ryzyka
Atakujący może przejąć kontrolę nad sesją OctoPrint ofiary, zakłócić drukowanie lub wykraść wrażliwe informacje.
Rekomendacja
Zaleca się aktualizację OctoPrint do wersji 1.11.8 lub 2.0.0rc3, które zawierają poprawkę.
Inne podatności w OctoPrint
Zobacz wszystkie- CVE-2025-58180Wysokie
OctoPrint w wersjach do 1.11.2 włącznie zawiera podatność, która pozwala uwierzytelnionemu atakującemu przesłać plik o specjalnie spreparowanej nazwie, umożliwiając wykonanie dowolnego polecenia, jeśli nazwa pliku zostanie użyta w poleceniu zdefiniowanym w systemowym obsługiwaczu zdarzeń i zdarzenie zostanie wywołane. Podatność nie ma wpływu, jeśli nie skonfigurowano obsługiwaczy zdarzeń wykonujących polecenia systemowe z nazwami przesłanych plików.
- CVE-2014-125135Wysokie
W OctoPrint 1.0.0/1.1.0 wykryto podatność w komponencie obsługi klucza sekretnego Flask, polegającą na użyciu zaszytego na stałe klucza kryptograficznego. Atak może być przeprowadzony zdalnie. Problem naprawiono w wersji 1.11.1 (patch b4699825d6ab92d5451e5b1e3a06dfb81f86e777).
- CVE-2013-10077Średnie
OctoPrint w wersji 1.0.0 ma lukę w funkcji getSettings w pliku src/octoprint/server/ajax/settings.py, w komponencie obsługi kluczy API. Manipulacja pozwala na ujawnienie informacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a luka została naprawiona w wersji 1.1.0-rc1.
- CVE-2026-54134Wysokie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.
Oryginalny opis (angielski, źródło NVD)
OctoPrint provides a web interface for controlling consumer 3D printers. Prior to 1.11.8 and 2.0.0rc3, Suppressed Command notification popups use PNotify rendering for printer-controlled payload.command and payload.message values in src/octoprint/static/js/app/viewmodels/terminal.js without HTML escaping. An attacker who convinces a victim to print a crafted file can inject HTML and JavaScript into the notification, disrupt prints, read information available to the victim including sensitive settings when permitted, or perform actions in the victim's OctoPrint session. This issue is fixed in versions 1.11.8 and 2.0.0rc3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS