CVE-2026-40302
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
zrok to oprogramowanie do udostępniania usług sieciowych, plików i zasobów sieciowych. Przed wersją 2.0.1 silnik szablonów proxyUi używa Go text/template (bez escapowania HTML) zamiast html/template, a handlery callback GitHub OAuth w publicProxy i dynamicProxy wstawiają parametr refreshInterval do komunikatu błędu bez escapowania. Atakujący może dostarczyć ofierze spreparowany URL logowania, co po zakończeniu przepływu OAuth prowadzi do wykonania dowolnego JavaScriptu w origin serwera OAuth.
Ocena ryzyka
Podatność XSS w kontekście serwera OAuth może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce ofiary i kradzież danych sesji. Wersja 2.0.1 zawiera poprawkę.
Rekomendacja
Zaktualizuj zrok do wersji 2.0.1 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointów callback OAuth i monitorowanie podejrzanych żądań.
Inne podatności w zrok
Zobacz wszystkie- CVE-2026-45568Krytyczne
Podatność w zrok przed wersją 2.0.3 pozwala atakującemu na przekazanie absolutnego URL-a w ścieżce żądania do proxy Flask SDK Python. Funkcja urllib.parse.urljoin umożliwia zastąpienie skonfigurowanego hosta docelowego, co skutkuje wysłaniem żądania przez serwer do adresu URL wybranego przez atakującego.
- CVE-2026-45576Wysokie
Podatność w oprogramowaniu zrok (wersje od 0.4.23 do 2.0.3) pozwala atakującemu na zapis plików poza wybranym katalogiem docelowym poprzez kontrolowane ścieżki WebDAV lub zrok drive, takie jak /../outside.txt. Problem został naprawiony w wersji 2.0.3.
- CVE-2026-40304Średnie
zrok przed wersją 2.0.1 zawiera błąd logiczny w kontroli własności w handlerze unaccess (controller/unaccess.go): gdy rekord frontendu ma environment_id = NULL (oznaczenie globalnych frontendów utworzonych przez administratora), warunek zwraca false i pozwala na usunięcie bez weryfikacji własności. Użytkownik niebędący administratorem, znający token globalnego frontendu, może trwale usunąć globalny frontend, powodując niedostępność wszystkich publicznych udziałów.
Oryginalny opis (angielski, źródło NVD)
zrok is software for sharing web services, files, and network resources. Prior to version 2.0.1, the proxyUi template engine uses Go's text/template (which performs no HTML escaping) instead of html/template. The GitHub OAuth callback handlers in both publicProxy and dynamicProxy embed the attacker-controlled refreshInterval query parameter verbatim into an error message when time.ParseDuration fails, and render that error unescaped into HTML. An attacker can deliver a crafted login URL to a victim; after the victim completes the GitHub OAuth flow, the callback page executes arbitrary JavaScript in the OAuth server's origin. Version 2.0.1 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS