CVE-2026-62345
WysokieCVSS 7.6Streszczenie
W Wanderer przed wersją 0.19.3 uwierzytelniony użytkownik może zapisać spreparowaną wartość waypoint.icon, którą createMarkerFromWaypoint() przekazuje do FontawesomeMarker, gdzie insertAdjacentHTML wstawia niezwalidowaną wartość do znacznika mapy. Otwarcie dotkniętej mapy trasy wykonuje kontrolowany przez atakującego skrypt w przeglądarce przeglądającego, co może ujawnić tokeny sesji lub wykonać działania jako ofiara. Sfederowane dane waypointów mogą również dotrzeć do tego miejsca bez lokalnego konta na instancji odbierającej.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, kradnąc tokeny sesji lub wykonując działania w jej kontekście. Ryzyko obejmuje również instancje otrzymujące sfederowane waypointy.
Rekomendacja
Zaktualizuj Wanderer do wersji 0.19.3 lub nowszej. Do czasu aktualizacji ogranicz zaufanie do sfederowanych instancji i rozważ wyłączenie federacji waypointów.
Inne podatności w Wanderer
Zobacz wszystkie- CVE-2026-62346Wysokie
W Wanderer przed wersją 0.19.3 uwierzytelniony lokalny użytkownik może przesłać spreparowane wartości waypoint.name i waypoint.icon, które wykres wysokości trasy interpoluje do szablonu innerHTML w web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts bez kodowania HTML lub walidacji ikony. Ofiara przeglądająca profil wysokości wykonuje kontrolowany przez atakującego skrypt w swojej przeglądarce. Ponadto sfederowane waypointy mogą dostarczyć te same złośliwe pola między instancjami bez konieczności posiadania lokalnego konta na instancji odbierającej. Skrypt może ujawnić dane sesji lub wykonać działania w kontekście ofiary.
- CVE-2026-62344Wysokie
Wanderer przed wersją 0.19.3 udostępnia nieuwierzytelnione endpointy GET /activitypub/trail/{id} i GET /activitypub/comment/{id}, które zwracają pełne rekordy szlaków i komentarzy bez stosowania reguł widoku kolekcji PocketBase. Atakujący mogący wyliczyć lub odgadnąć identyfikatory rekordów może pobrać prywatne nazwy szlaków, opisy, współrzędne GPS, adresy URL plików GPX i zdjęć oraz komentarze.
- CVE-2026-71495Krytyczne
W Wanderer przed wersją 0.20.0, gdy PUBLIC_PRIVATE_INSTANCE nie jest ustawione na true, nieuwierzytelniony handler POST /api/v1/trail/download przekazuje kontrolowane przez atakującego pole JSON url bezpośrednio do event.fetch() i zwraca pobraną odpowiedź. Umożliwia to żądania do usług wewnętrznych, adresów metadanych chmury i innych celów sieciowych, ujawniając dane i pozwalając na rekonesans sieci wewnętrznej lub atak odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.19.3, an authenticated user can store a crafted waypoint.icon value that createMarkerFromWaypoint() passes into FontawesomeMarker, where insertAdjacentHTML inserts the unvalidated value into map marker markup. Opening the affected trail map executes attacker-controlled script in the viewer's browser, which can expose session tokens or perform actions as the victim. Federated waypoint data can also reach the sink without a local account on the receiving instance. This issue is fixed in version 0.19.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS