CVE-2026-39039
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W BharatMLStack do wersji 1.3.0 włącznie, Trufflebox UI przechowuje token JWT, pełny obiekt użytkownika i identyfikator sesji w localStorage przeglądarki, co jest w pełni dostępne dla każdego JavaScriptu działającego na stronie.
Ocena ryzyka
Wrażliwe dane uwierzytelniające są narażone na kradzież przez złośliwe skrypty, co może prowadzić do przejęcia konta użytkownika.
Rekomendacja
Zmień sposób przechowywania tokenów i danych sesji na bezpieczniejsze (np. ciasteczka HttpOnly) i zaktualizuj BharatMLStack.
Inne podatności w BharatMLStack
Zobacz wszystkie- CVE-2026-39040Średnie
BharatMLStack do wersji 1.3.0 włącznie jest podatny na Cross Site Scripting (XSS) w komponencie Trufflebox UI (trufflebox-ui) w pliku ExpressionViewModal.jsx.
- CVE-2026-39038Średnie
BharatMLStack do wersji 1.3.0 włącznie jest podatny na Cross Site Scripting (XSS) w komponencie Trufflebox UI (trufflebox-ui) w pliku GenericNumerixTable.jsx.
Oryginalny opis (angielski, źródło NVD)
In BharatMLStack up to and including v1.3.0, Trufflebox UI stores the JWT authentication token, full user object, and session ID in the browser's localStorage, which is fully accessible to any JavaScript running on the page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS