CVE-2026-82081
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
wallabag w wersjach od 2 do 2.6.14 jest podatny na atak SSRF (Server-Side Request Forgery) z powodu nieprawidłowego przetwarzania spreparowanego pola tytułu lub treści podczas eksportu do PDF.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonywania żądań HTTP z serwera, co może prowadzić do dostępu do wewnętrznych zasobów sieciowych lub innych systemów.
Rekomendacja
Zaleca się aktualizację wallabag do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w wallabag
Zobacz wszystkie- CVE-2026-110228Średnie
wallabag 2.6.13 do 2.6.14 zawiera podatność na trwałe cross-site scripting, która pozwala uwierzytelnionym użytkownikom hostować dowolny HTML poprzez wywołanie nieudanego importu Pocket HTML, Pocket CSV lub Shaarli. Atakujący mogą przesłać plik HTML ze skryptem, ale bez elementów kotwicy, pozostawiając go w przewidywalnej ścieżce /uploads/import/<user-id>.html, aby wykonać skrypt w sesjach wallabag ofiar.
- CVE-2026-82089Wysokie
Aplikacja wallabag (fr.gaulupeau.apps.InThePoche) dla systemu Android w wersji do 2.6.0 zawiera podatność XSS, ponieważ dane z /api/entries są ładowane do WebView.
- CVE-2023-4455Średnie
W repozytorium GitHub wallabag/wallabag przed wersją 2.6.3 występuje podatność typu Cross-Site Request Forgery (CSRF). Umożliwia to atakującym wysyłanie nieautoryzowanych żądań w imieniu użytkowników.
- CVE-2023-4454Średnie
W repozytorium GitHub wallabag/wallabag przed wersją 2.6.3 występuje podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.
Oryginalny opis (angielski, źródło NVD)
wallabag 2 through 2.6.14 allows SSRF because a crafted title or content field is mishandled during PDF export.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS