CVE-2026-86644
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w star7th showdoc do wersji 3.9.1 dotyczy nieznanego kodu w pliku web_src/public/editor.md/editormd.js komponentu API Page Save Endpoint. Manipulacja może prowadzić do cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 3.9.2 rozwiązuje problem. Poprawka ustawia Mermaid 'securityLevel' na 'strict', wyłącza 'htmlLabels' i sanityzuje renderowany SVG za pomocą DOMPurify.
Ocena ryzyka
Atakujący może wykorzystać XSS do wykonania skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, danych lub przejęcia konta. Ponieważ exploit jest publiczny, ryzyko jest podwyższone.
Rekomendacja
Zaleca się natychmiastową aktualizację showdoc do wersji 3.9.2 lub nowszej. Należy również ograniczyć dostęp do API i monitorować logi pod kątem podejrzanych żądań.
Inne podatności w showdoc
Zobacz wszystkie- CVE-2025-0520Krytyczne
W ShowDoc występuje podatność nieograniczonego przesyłania plików spowodowana niewłaściwą walidacją rozszerzenia pliku, co pozwala na wykonanie dowolnego kodu PHP i zdalne wykonanie kodu. Problem dotyczy wersji przed 2.8.7.
- CVE-2026-120203Wysokie
ShowDoc w wersji 2.8.14 przed 3.9.6 zawiera podatność wstrzyknięcia kodu w funkcji Mock, która pozwala uwierzytelnionym użytkownikom wykonywać polecenia powłoki poprzez szablony mockjs. Atakujący może zapisać szablon przez MockController::add z escapowanymi nawiasami, który mockjs ewaluuje za pomocą eval(), a następnie wywołać go przez MockController::infoByKey, aby uruchomić polecenia, w oficjalnym obrazie Docker jako root.
- CVE-2026-119661Średnie
ShowDoc do wersji 3.9.5 zawiera obejście autoryzacji w punkcie końcowym api/paramDescLib/deleteEntries, który sprawdza uprawnienia do edycji tylko dla pierwszego podanego identyfikatora wpisu. Uwierzytelniony atakujący może umieścić własny identyfikator jako pierwszy i dołączyć identyfikatory innych użytkowników, aby trwale usunąć ich wpisy opisów parametrów.
- CVE-2026-6982Średnie
W star7th ShowDoc do wersji 2.10.10/3.6.2/3.8.0 wykryto podatność w nieznanej funkcjonalności pliku server/Application/Api/Controller/PageController.class.PHP komponentu API Page Sort Endpoint. Manipulacja argumentem pages może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in star7th showdoc up to 3.9.1. This vulnerability affects unknown code of the file web_src/public/editor.md/editormd.js of the component API Page Save Endpoint. Executing a manipulation can lead to cross site scripting. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. Upgrading to version 3.9.2 is able to resolve this issue. This patch is called a8ea1520850b4242f395247f72e87e597506cef0. Upgrading the affected component is recommended. The vendor confirms: "The fix [...] sets Mermaid `securityLevel` to `strict`, disables `htmlLabels`, and sanitizes rendered SVG with DOMPurify."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS