CVE-2026-42451
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Grimmory, samodzielnie hostowana biblioteka cyfrowa, przed wersją 2.3.1 zawiera podatność na trwałe cross-site scripting (XSS) w czytniku EPUB opartym na przeglądarce. Pozwala to atakującemu na osadzenie dowolnego JavaScript w spreparowanym pliku EPUB. Gdy ofiara otworzy książkę, skrypt wykonuje się w jej przeglądarce z pełnym dostępem do kontekstu sesji aplikacji Grimmory. Może to umożliwić kradzież tokena sesji i przejęcie konta, w tym dostęp administracyjny, jeśli administrator otworzy zainfekowaną książkę. Podatność została załatana w wersji 2.3.1.
Ocena ryzyka
Ryzyko obejmuje kradzież tokenów sesji i przejęcie kont użytkowników, w tym kont administratorów, co może prowadzić do pełnej kompromitacji instancji Grimmory.
Rekomendacja
Zaleca się natychmiastową aktualizację Grimmory do wersji 2.3.1 lub nowszej, która zawiera poprawkę tej podatności.
Oryginalny opis (angielski, źródło NVD)
Grimmory is a self-hosted digital library. Prior to version 2.3.1, a stored cross-site scripting (XSS) vulnerability in Grimmory's browser-based EPUB reader allows an attacker to embed arbitrary JavaScript in a crafted EPUB file. When a victim opens the book, the script executes in their browser with full access to the Grimmory application's session context. This can enable session token theft and account takeover, including administrative access if an administrator opens the affected book. This issue has been patched in version 2.3.1.