CVE-2026-42157
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Flowsint przed wersją 1.2.3 zdalny atakujący może utworzyć węzeł mapy z etykietą zawierającą dowolny kod HTML. Po wybraniu zakładki mapy i kliknięciu znacznika węzła renderowany jest dowolny HTML, co może wywołać podatność stored XSS.
Ocena ryzyka
Złośliwy kod zapisany w etykiecie węzła może wykonywać się w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji lub działań w ich imieniu. Ryzyko dotyczy wszystkich użytkowników przeglądających mapę.
Rekomendacja
Zaktualizuj Flowsint do wersji 1.2.3 lub nowszej. Do czasu aktualizacji ogranicz dostęp do funkcji mapy i weryfikuj źródła danych węzłów.
Inne podatności w Flowsint
Zobacz wszystkie- CVE-2026-32311Krytyczne
Flowsint to narzędzie do eksploracji grafów OSINT, które umożliwia użytkownikom tworzenie dochodzeń. W wyniku podatności, zdalny atakujący może wywołać transformację 'org_to_asn' na węźle organizacji, co pozwala na wykonanie dowolnych poleceń systemowych jako root na maszynie gospodarza.
- CVE-2026-42159Średnie
Flowsint przed wersją 1.2.3 pozwala atakującemu utworzyć węzeł z opisem zawierającym dowolny kod HTML, który jest renderowany po wybraniu węzła. Może to prowadzić do przechowywanego XSS.
- CVE-2026-44352Średnie
W narzędziu Flowsint przed wersją 1.2.3 występuje błąd kontroli dostępu (Broken Access Control), który pozwala na odczyt logów szkiców (sketch logs) dowolnego użytkownika. Podatność została naprawiona w wersji 1.2.3.
- CVE-2026-42158Niskie
Flowsint to narzędzie OSINT do eksploracji grafów. Przed wersją 1.2.3 przeciwnik znający identyfikator śledztwa mógł zaktualizować metadane śledztwa innego użytkownika. Luka została naprawiona w wersji 1.2.3.
- CVE-2026-42156Wysokie
Flowsint to narzędzie typu OSINT do eksploracji grafów, które przed wersją 1.2.3 pozwalało zdalnemu atakującemu na stworzenie węzła z złośliwym typem, co mogło prowadzić do ucieczki z istniejącego zapytania Cypher i wykonania dowolnego zapytania Cypher.
Oryginalny opis (angielski, źródło NVD)
Flowsint is an open-source OSINT graph exploration tool designed for cybersecurity investigation, transparency, and verification. Prior to 1.2.3, a remote attacker can create a map node with a malicious label that contains arbitrary HTML. When the map tab is selected and a map node marker is selected, it will render the arbitrary HTML, potentially triggering stored XSS. This vulnerability is fixed in 1.2.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS