Plateforme
nodejs
Composant
emissary
Corrigé dans
8.39.1
CVE-2026-35571 affects Emissary, a P2P workflow engine, where improperly validated Mustache navigation templates permit the injection of javascript: URIs into href attributes. This allows an administrator with configuration modification privileges to execute malicious scripts against other authenticated users accessing the Emissary web interface. The vulnerability impacts versions 0.0.0 through 8.38.9, but a patch is available in version 8.39.0.
La CVE-2026-35571 affecte Emissary, un moteur de flux de travail basé sur P2P et axé sur les données. Avant la version 8.39.0, Emissary interpolait directement les valeurs de lien contrôlées par la configuration dans les attributs 'href' en utilisant des modèles de navigation Mustache, sans validation adéquate du schéma d'URL. Cela signifie qu'un administrateur capable de modifier la configuration 'navItems' pourrait injecter des URI 'javascript:', permettant un Cross-Site Scripting (XSS) stocké contre d'autres utilisateurs authentifiés visualisant l'interface web d'Emissary. La gravité de cette vulnérabilité est évaluée à 4.8 selon le CVSS. La vulnérabilité réside dans l'absence de validation des entrées, permettant l'exécution de code malveillant dans le contexte du navigateur de l'utilisateur.
Un attaquant aurait besoin d'un accès pour modifier la configuration 'navItems' d'Emissary. Cela pourrait être réalisé si l'attaquant a compromis le compte d'un administrateur ou a trouvé une vulnérabilité dans le système de gestion de configuration. Une fois que l'attaquant a modifié la configuration, il peut injecter un script malveillant dans un lien de navigation. Lorsque l'autre utilisateur authentifié clique sur ce lien, le script s'exécute dans son navigateur, permettant à l'attaquant de voler des cookies, de rediriger l'utilisateur vers un site web malveillant ou d'effectuer d'autres actions malveillantes au nom de l'utilisateur.
Statut de l'Exploit
EPSS
0.03% (percentile 8%)
CISA SSVC
Vecteur CVSS
La solution à la CVE-2026-35571 est de mettre à niveau Emissary vers la version 8.39.0 ou ultérieure. Cette version inclut une validation du schéma d'URL pour empêcher l'injection d'URI 'javascript:' dans les attributs 'href'. De plus, il est recommandé de revoir et de renforcer les contrôles d'accès à la configuration 'navItems' pour limiter qui peut la modifier. La mise en œuvre d'une Politique de Sécurité du Contenu (CSP) peut également aider à atténuer l'impact d'une éventuelle attaque XSS, même si la mise à niveau ne peut pas être appliquée immédiatement. Surveiller régulièrement les journaux d'Emissary à la recherche d'activités suspectes est également une bonne pratique de sécurité.
Actualice a la versión 8.39.0 o posterior para mitigar la vulnerabilidad. Esta versión implementa la validación del esquema de URL para prevenir la inyección de javascript: URIs en los atributos href de las plantillas de navegación.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Le XSS (Cross-Site Scripting) est un type de vulnérabilité de sécurité qui permet aux attaquants d'injecter des scripts malveillants dans des pages web consultées par d'autres utilisateurs.
Si vous utilisez une version d'Emissary antérieure à 8.39.0, vous êtes probablement affecté. Vérifiez votre version actuelle et mettez à niveau dès que possible.
La configuration 'navItems' définit les éléments de navigation qui sont affichés dans l'interface web d'Emissary.
Une Politique de Sécurité du Contenu (CSP) est une couche de sécurité supplémentaire qui permet aux administrateurs de contrôler les ressources que le navigateur est autorisé à charger pour une page web.
La mise en œuvre d'une Politique de Sécurité du Contenu (CSP) peut aider à atténuer le risque, bien qu'elle ne soit pas une solution complète. Il est également recommandé d'examiner attentivement la configuration 'navItems' et de limiter l'accès à celle-ci.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.