CVE-2026-62346
WysokieCVSS 7.6Streszczenie
W Wanderer przed wersją 0.19.3 uwierzytelniony lokalny użytkownik może przesłać spreparowane wartości waypoint.name i waypoint.icon, które wykres wysokości trasy interpoluje do szablonu innerHTML w web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts bez kodowania HTML lub walidacji ikony. Ofiara przeglądająca profil wysokości wykonuje kontrolowany przez atakującego skrypt w swojej przeglądarce. Ponadto sfederowane waypointy mogą dostarczyć te same złośliwe pola między instancjami bez konieczności posiadania lokalnego konta na instancji odbierającej. Skrypt może ujawnić dane sesji lub wykonać działania w kontekście ofiary.
Ocena ryzyka
Atakujący może wykonać skrypt w przeglądarce ofiary, kradnąc tokeny sesji lub wykonując działania w jej imieniu. Ryzyko rozprzestrzenia się przez federację waypointów między instancjami.
Rekomendacja
Zaktualizuj Wanderer do wersji 0.19.3 lub nowszej. Do czasu aktualizacji ogranicz zaufanie do sfederowanych instancji i rozważ wyłączenie federacji waypointów.
Inne podatności w Wanderer
Zobacz wszystkie- CVE-2026-62345Wysokie
W Wanderer przed wersją 0.19.3 uwierzytelniony użytkownik może zapisać spreparowaną wartość waypoint.icon, którą createMarkerFromWaypoint() przekazuje do FontawesomeMarker, gdzie insertAdjacentHTML wstawia niezwalidowaną wartość do znacznika mapy. Otwarcie dotkniętej mapy trasy wykonuje kontrolowany przez atakującego skrypt w przeglądarce przeglądającego, co może ujawnić tokeny sesji lub wykonać działania jako ofiara. Sfederowane dane waypointów mogą również dotrzeć do tego miejsca bez lokalnego konta na instancji odbierającej.
- CVE-2026-62344Wysokie
Wanderer przed wersją 0.19.3 udostępnia nieuwierzytelnione endpointy GET /activitypub/trail/{id} i GET /activitypub/comment/{id}, które zwracają pełne rekordy szlaków i komentarzy bez stosowania reguł widoku kolekcji PocketBase. Atakujący mogący wyliczyć lub odgadnąć identyfikatory rekordów może pobrać prywatne nazwy szlaków, opisy, współrzędne GPS, adresy URL plików GPX i zdjęć oraz komentarze.
- CVE-2026-71495Krytyczne
W Wanderer przed wersją 0.20.0, gdy PUBLIC_PRIVATE_INSTANCE nie jest ustawione na true, nieuwierzytelniony handler POST /api/v1/trail/download przekazuje kontrolowane przez atakującego pole JSON url bezpośrednio do event.fetch() i zwraca pobraną odpowiedź. Umożliwia to żądania do usług wewnętrznych, adresów metadanych chmury i innych celów sieciowych, ujawniając dane i pozwalając na rekonesans sieci wewnętrznej lub atak odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.19.3, an authenticated local user can submit crafted waypoint.name and waypoint.icon values that the trail elevation graph interpolates into an innerHTML template in web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts without HTML encoding or icon validation. A victim viewing the elevation profile executes the attacker-controlled script in their browser. Separately, federated waypoints can deliver the same malicious fields across instances without requiring the attacker to have a local account on the receiving instance. The script can expose session data or perform actions in the victim's context. This issue is fixed in version 0.19.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS