CVE-2026-42190

ŚrednieCVSS 5.3

Opublikowano: 08/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

W RedwoodSDK w wersjach od 1.0.0-beta.50 do przed 1.2.3 akcje serwerowe wymuszają metodę HTTP, ale nie weryfikują pochodzenia żądania. Żądanie z innego origin, które przeglądarka traktuje jako same-site, może wywołać akcję serwerową z dołączonym ciasteczkiem sesji ofiary.

Ocena ryzyka

Atakujący może wykonać akcje serwerowe w kontekście zalogowanego użytkownika, co może prowadzić do nieautoryzowanych operacji i naruszenia poufności lub integralności danych.

Rekomendacja

Zaktualizuj RedwoodSDK do wersji 1.2.3 lub nowszej, która zawiera poprawkę walidacji origin.

Inne podatności w RedwoodSDK

CVE-2026-39371Wysokie
RedwoodSDK od wersji 1.0.0-beta.50 do 1.0.5 umożliwia wywoływanie funkcji serwerowych z plików 'use server' przez żądania GET, z pominięciem zamierzonej metody HTTP. W aplikacjach uwierzytelnianych ciasteczkami SameSite=Lax, atak CSRF może zmieniać stan aplikacji.

Oryginalny opis (angielski, źródło NVD)

RedwoodSDK is a server-first React framework. From version 1.0.0-beta.50 to before version 1.2.3, server actions in rwsdk apply HTTP method enforcement but no origin validation. A request originating from a different origin that the browser treats as same-site can invoke a server action with the victim's session cookie attached. This issue has been patched in version 1.2.3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS