CVE-2026-7502
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W LinkStackOrg LinkStack do wersji 4.8.6 wykryto podatność w funkcji saveLink w pliku app/Http/Controllers/UserController.php (komponent Management Endpoint). Manipulacja prowadzi do obejścia autoryzacji. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny; pull request z poprawką oczekuje na akceptację.
Ocena ryzyka
Atakujący może obejść mechanizmy autoryzacji i wykonywać operacje zarządzania, do których nie powinien mieć uprawnień. Może to prowadzić do modyfikacji danych lub przejęcia kontroli nad linkami.
Rekomendacja
Monitoruj status poprawki i wdróż ją, gdy tylko zostanie zaakceptowana. Do tego czasu ogranicz dostęp do endpointów zarządzania i weryfikuj uprawnienia po stronie serwera.
Inne podatności w LinkStack
Zobacz wszystkie- CVE-2026-116052Średnie
W LinkStackOrg LinkStack do wersji 4.8.8 wykryto podatność typu cross-site request forgery (CSRF) w nieznanej funkcji. Atak można przeprowadzić zdalnie, a producent nie odpowiedział na zgłoszenie.
- CVE-2025-69904Średnie
Linkstack w wersji 4.8.4 i wcześniejszych jest podatny na path traversal, co pozwala administratorowi na odczyt dowolnych plików na serwerze poprzez manipulację ścieżką pliku. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu do wrażliwych plików systemowych lub aplikacji.
- CVE-2026-7501Niskie
Zidentyfikowano słabość w LinkStackOrg LinkStack do wersji 4.8.6. Dotyczy ona funkcji editPage w pliku app/Http/Controllers/UserController.php. Manipulacja argumentem pageDescription prowadzi do cross site scripting, a atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in LinkStackOrg LinkStack up to 4.8.6. The affected element is the function saveLink of the file app/Http/Controllers/UserController.php of the component Management Endpoint. The manipulation leads to authorization bypass. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used. The pull request to fix this issue awaits acceptance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS