CVE-2026-53634
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Sharp, pakiet Laravel do zarządzania treścią, w wersjach od 9.0.0 do 9.22.3 nie egzekwuje kontroli dostępu w endpointach create i store funkcji Quick Creation Command. Uwierzytelniony użytkownik Sharp bez uprawnień do tworzenia encji może ominąć autoryzację i tworzyć nowe rekordy dla encji z skonfigurowanym handlerem Quick Creation Command.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą tworzyć encje, do których nie mają uprawnień, co może prowadzić do naruszenia integralności danych i nieautoryzowanego dostępu do funkcji.
Rekomendacja
Należy zaktualizować Sharp do wersji 9.22.3 lub nowszej.
Inne podatności w Sharp
Zobacz wszystkie- GHSA-f88m-g3jw-g9cjWysokie
Wykryto i naprawiono kilka podatności w zależności libvips, z których dwie mają wysoki poziom dotkliwości w CVSSv4. Wersje sharp przed 0.35.0 przetwarzające niezaufane dane są podatne.
- GHSA-2464-fhr4-w9xwKrytyczne
W bibliotece używanej do optymalizacji obrazów w Next.js wykryto podatność związaną z pamięcią, która może prowadzić do zdalnego wykonania kodu (RCE), gdy Next.js działa na systemie Linux z glibc. Problem dotyczy wersji biblioteki sharp starszych niż 0.35.5.
- CVE-2026-114113Wysokie
Sharp przed wersją 0.35.0 zawiera wersję libvips dotkniętą wieloma podatnościami (CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591 i CVE-2026-69242) w dekoderach obrazów GIF, TIFF i VIPS. Atakujący mogą dostarczyć spreparowane pliki GIF, TIFF lub VIPS do aplikacji używających sharp do przetwarzania niezaufanych danych wejściowych.
- CVE-2026-114112Wysokie
Sharp przed wersją 0.35.4 zawiera podatną zależność libheif, która pozwala atakującym na potencjalne zdalne wykonanie kodu w systemie Linux opartym na glibc poprzez dostarczenie spreparowanych obrazów. Atakujący mogą przesłać złośliwe dane wejściowe AVIF/HEIF do aplikacji przetwarzających niezaufane obrazy za pomocą sharp.
- CVE-2026-114111Wysokie
Sharp przed wersją 0.35.5 zawiera zależność librsvg dotkniętą podatnością związaną z pamięcią (CVE-2026-96889), która w określonych warunkach środowiskowych może prowadzić do wykonania kodu w systemie Linux opartym na glibc. Atakujący może dostarczyć spreparowany obraz SVG, który po zdekodowaniu przez sharp za pośrednictwem librsvg może spowodować wykonanie dowolnego kodu.
- CVE-2026-44692Wysokie
Sharp, framework CMS dla Laravela, przed wersją 9.22.0 udostępnia ogólny endpoint do pobierania plików, który autoryzuje dostęp tylko do instancji encji, ale odczytuje docelowy dysk i ścieżkę z parametrów żądania. Uwierzytelniony użytkownik Sharp, który może wyświetlić jeden prawidłowy rekord, może go użyć jako kotwicy autoryzacji do pobrania niepowiązanych obiektów z dysków Laravel Storage.
- CVE-2025-62798Średnie
Sharp to framework do zarządzania treścią zbudowany dla Laravela jako pakiet. Przed wersją 9.11.1 odkryto podatność Cross-Site Scripting (XSS) w code16/sharp podczas renderowania treści za pomocą komponentu SharpShowTextField. W podatnych wersjach wyrażenia owinięte w {{ & }} były ewaluowane przez Vue, co pozwalało atakującym wstrzyknąć dowolny JavaScript lub HTML wykonujący się w przeglądarce podczas wyświetlania pola. Problem został naprawiony w wersji 9.11.1.
Oryginalny opis (angielski, źródło NVD)
Sharp is a content management framework built for Laravel as a package. From version 9.0.0 to before version 9.22.3, the create and store endpoints of the Quick Creation Command feature did not enforce any authorization check. An authenticated Sharp user without create permission on a given entity could bypass the authorization layer and either retrieve the creation form or submit new records for that entity, as long as it had a Quick Creation Command handler configured. This issue has been patched in version 9.22.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS