CVE-2026-48821
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 — wyżej niż 3% wszystkich znanych CVE
Streszczenie
Shaarli to osobista usługa zakładek, która w wersjach 0.16.1 i wcześniejszych zawiera podatność typu Cross-Site Scripting (XSS) w funkcji synchronizacji miniaturek. Problem polega na tym, że złośliwe tytuły zakładek są zwracane w odpowiedzi AJAX i wstawiane do DOM bez odpowiedniej sanitizacji.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia sesji, eskalacji uprawnień, wstrzyknięcia tylnej furtki oraz pełnego kompromitacji systemu. Administratorzy korzystający z funkcji synchronizacji miniaturek są bezpośrednio narażeni.
Rekomendacja
Zaleca się aktualizację do wersji 0.16.2, w której problem został naprawiony. Dodatkowo, warto wdrożyć dodatkowe mechanizmy zabezpieczeń, aby zminimalizować ryzyko XSS.
Oryginalny opis (angielski, źródło NVD)
Shaarli is a personal bookmarking service. Versions 0.16.1 and prior contain a DOM-based Cross-Site Scripting (XSS) vulnerability in the Thumbnail Synchronizer feature. When an administrator runs the thumbnail update process, malicious bookmark titles are returned via an AJAX response and inserted into the DOM using innerHTML without proper sanitization. The issue originates from the interaction between the backend thumbnail update endpoint and the frontend JavaScript responsible for rendering update progress. On the backend, the ThumbnailsController::ajaxUpdate method returns bookmark data formatted using the 'raw' formatter. This includes the unescaped bookmark title in the JSON response. On the client side, the script thumbnails-update.js processes this AJAX response and dynamically updates the progress interface. Administrators using the thumbnail synchronization feature are affected and exploitation could lead to session hijacking, privilege escalation, backdoor injection and full compromise. This issue has been fixed in version 0.16.2.