CVE-2026-85605

ŚrednieCVSS 5.3

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

Slink przed wersją 1.12.3 nieprawidłowo autoryzuje dostęp do punktów końcowych komentarzy obrazów, co pozwala nieuwierzytelnionym atakującym na odczyt wątków komentarzy przez GET /api/image/{imageId}/comments oraz subskrypcje server-sent-events. Atakujący, którzy zdobędą identyfikatory obrazów poza pasmem, mogą pobrać pełne wątki komentarzy na publicznych obrazach i subskrybować aktualizacje komentarzy na żywo bez uwierzytelnienia lub kontroli autoryzacji.

Ocena ryzyka

Ryzyko polega na nieautoryzowanym ujawnieniu treści komentarzy, co może naruszyć prywatność użytkowników i integralność danych. Atakujący może monitorować dyskusje na żywo bez żadnych uprawnień.

Rekomendacja

Zaleca się natychmiastową aktualizację Slink do wersji 1.12.3 lub nowszej, która zawiera poprawki autoryzacji. Należy również zweryfikować, czy nie doszło do nieautoryzowanego dostępu do komentarzy.

Inne podatności w Slink

CVE-2025-55944Średnie
Slink v1.4.9 pozwala na przechowywane cross-site scripting (XSS) poprzez spreparowane przesyłanie plików SVG. Gdy użytkownik wyświetli udostępniony obraz w nowej karcie przeglądarki, osadzony JavaScript zostaje wykonany.

Oryginalny opis (angielski, źródło NVD)

Slink before 1.12.3 fails to properly authorize access to image comment endpoints, allowing unauthenticated attackers to read comment threads via GET /api/image/{imageId}/comments and server-sent-events subscriptions. Attackers who obtain image IDs out of band can retrieve full comment threads on public images and subscribe to live comment updates without authentication or authorization checks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS