CVE-2026-42455
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Linkwarden w wersjach 2.14.0 i wcześniejszych nie oczyszcza plików HTML przesyłanych jako archiwa. Punkt końcowy /api/v1/archives/[linkId]?format=4 akceptuje pliki HTML z kodem JavaScript, który jest następnie serwowany z tego samego źródła bez nagłówka Content-Security-Policy. Umożliwia to wykonanie dowolnego kodu JavaScript w kontekście sesji uwierzytelnionego użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce ofiary, kradnąc sesję, dane lub wykonując działania w imieniu użytkownika. Brak dostępnych łat w momencie publikacji.
Rekomendacja
Ogranicz dostęp do punktu końcowego archiwizacji, wdróż własne nagłówki CSP lub tymczasowo wyłącz funkcję przesyłania archiwów HTML do czasu wydania łatki.
Inne podatności w Linkwarden
Zobacz wszystkie- CVE-2026-44313Krytyczne
Linkwarden przed wersją 2.13.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji fetchTitleAndHeaders. Uwierzytelnieni użytkownicy mogą wysyłać dowolne żądania HTTP do wewnętrznych usług z powodu niewystarczającej walidacji URL.
- CVE-2025-49588Wysokie
Linkwarden, samodzielnie hostowany menedżer zakładek, w wersji 2.10.2 akceptuje linki w formacie file:///etc/passwd i nie przeprowadza żadnej walidacji przed wysłaniem ich do parserów i playwright. Może to skutkować wyciekiem linków innych użytkowników, a w niektórych przypadkach także ujawnieniem sekretów środowiskowych. Problem został naprawiony w wersji 2.10.3.
Oryginalny opis (angielski, źródło NVD)
Linkwarden is a self-hosted, open-source collaborative bookmark manager to collect, organize and archive webpages. In versions 2.14.0 and prior, the archive upload endpoint (POST /api/v1/archives/[linkId]?format=4) accepts HTML files (text/html) without sanitizing JavaScript content. When the archive is later accessed via GET /api/v1/archives/[linkId]?format=4, the HTML is served with Content-Type: text/html from the Linkwarden origin, without any Content-Security-Policy header. This allows arbitrary JavaScript execution in the context of the authenticated Linkwarden sessio. At time of publication, there are no publicly available patches.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS