CVE-2026-38978

ŚrednieCVSS 5.3

Opublikowano: 02/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

W aplikacji Transmission do wersji 4.1.1 wykryto słabość clickjackingu w interfejsie WebUI i ścieżkach odpowiedzi RPC. Atakujący może nakłonić użytkownika do kliknięcia w ukryty element na stronie, co może prowadzić do nieautoryzowanych działań.

Ocena ryzyka

Atakujący może wykorzystać clickjacking do przejęcia kontroli nad sesją użytkownika, np. do zmiany ustawień lub uruchomienia niechcianych operacji.

Rekomendacja

Należy zaktualizować Transmission do wersji powyżej 4.1.1, która zawiera poprawki zabezpieczeń przed clickjackingiem.

Inne podatności w Transmission

CVE-2026-116748Wysokie
W Transmission w wersjach od 4.0.0 do przed 4.1.3 występuje podatność permisywnego CORS w funkcji handle_request() w rpc-server.cc. Token anty-CSRF X-Transmission-Session-Id jest ujawniany dowolnemu originowi sieciowemu, co pozwala złośliwym stronom odczytać go z odpowiedzi 409 i użyć do wywołań RPC. Umożliwia to wykonanie script-torrent-done, zmianę katalogu pobierania lub usunięcie torrentów i danych.

Oryginalny opis (angielski, źródło NVD)

transmission through 4.1.1 was found to have a clickjacking weakness in the browser-facing WebUI and RPC response paths.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS