CVE-2026-41887
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Flarum przed wersjami 1.8.16 i 2.0.0-rc.1 poprawka dla CVE-2023-27577 ograniczyła funkcje LESS @import i data-uri() tylko w ustawieniu custom_less, ale nie w innych ustawieniach rejestrowanych jako zmienne konfiguracyjne LESS (np. theme_primary_color, theme_secondary_color oraz klucze rejestrowane przez Extend\Settings::registerLessConfigVar()). Wartości te są wstawiane dosłownie do źródła LESS w czasie kompilacji, umożliwiając uwierzytelnionemu administratorowi wstrzyknięcie dowolnej dyrektywy @import do forum.css. Ponieważ parser LESS honoruje @import (inline) '<path>', atakujący może odczytać dowolne pliki dostępne dla procesu PHP (LFI) lub wywołać wychodzące żądania HTTP(S) (SSRF). Podatność naprawiono w wersjach 1.8.16 i 2.0.0-rc.1.
Ocena ryzyka
Może to prowadzić do ujawnienia poufnych plików lub wykorzystania serwera do ataków SSRF na zasoby wewnętrzne. Ryzyko dotyczy organizacji używających Flarum z administratorami mogącymi modyfikować ustawienia motywu.
Rekomendacja
Zaktualizuj Flarum do wersji 1.8.16 lub 2.0.0-rc.1 (lub nowszej). Ogranicz uprawnienia administracyjne do niezbędnego minimum.
Inne podatności w Flarum
Zobacz wszystkie- CVE-2026-39924Średnie
Flarum przed wersją 1.8.16 zawiera podatność polegającą na nieprawidłowym unieważnianiu sesji, która pozwala atakującemu posiadającemu ważny token sesji na zachowanie pełnego dostępu do konta po zmianie hasła przez ofiarę, ponieważ tabela access_tokens nigdy nie jest czyszczona przy zmianie hasła. Funkcja TokensClearer::clearPasswordTokens() usuwa tylko wiersze z tabeli password_tokens, pozostawiając aktywne ciasteczka sesji i tokeny API, w tym długożyjące RememberAccessToken, a wymuszone przez administratora resetowanie haseł przez endpoint aktualizacji użytkownika jest równie nieskuteczne w odwoływaniu sesji atakującego.
- CVE-2026-39923Wysokie
Flarum przed wersją 1.8.16 zawiera podatność na obejście wygaśnięcia tokenu resetowania hasła, która umożliwia nieuwierzytelnionym atakującym ponowne użycie wygasłych tokenów resetowania hasła poprzez bezpośrednie przesłanie ich do punktu końcowego przetwarzania resetowania. Metoda SavePasswordController::handle() wywołuje PasswordToken::findOrFail() bez przeprowadzania walidacji wygaśnięcia, co pozwala atakującym ominąć 24-godzinny okres ważności tokenu i zmienić hasło dowolnego konta, aby uzyskać uwierzytelnioną sesję.
- CVE-2023-40033Wysokie
Flarum, oprogramowanie forum typu open source, jest podatne na atak typu Blind Server-Side Request Forgery (SSRF) oraz ujawnienie plików na serwerze, nawet przy podstawowym koncie użytkownika. Wykorzystując lukę, atakujący może manipulować aplikacją, aby wykonać niezamierzone działania.
Oryginalny opis (angielski, źródło NVD)
Flarum is open-source forum software. Prior to versions 1.8.16 and 2.0.0-rc.1, Flarum's patch for CVE-2023-27577 restricted the @import and data-uri() LESS features in the custom_less setting, but the same restriction was never applied to other settings registered as LESS config variables (for example theme_primary_color and theme_secondary_color, as well as any key registered via Extend\Settings::registerLessConfigVar()). Those values are interpolated verbatim into the LESS source at compile time, allowing an authenticated administrator to craft a theme-color value that injects an arbitrary @import directive into the compiled forum.css. Because the underlying LESS parser honours @import (inline) '<path>', an attacker can read arbitrary files reachable by the PHP process (local file inclusion) or trigger outbound HTTP(S) requests (server-side request forgery). This issue has been patched in versions 1.8.16 and 2.0.0-rc.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS