वेब पेज निर्माण के दौरान इनपुट का अनुचित न्यूट्रलाइजेशन ('क्रॉस-साइट स्क्रिप्टिंग') coolercontrol-ui में

यह XSS भेद्यता हमलावरों को coolercontrol-ui सेवा पर पूर्ण नियंत्रण प्राप्त करने की अनुमति देती है। वे उपयोगकर्ता सत्रों को हाईजैक कर सकते हैं, संवेदनशील डेटा चुरा सकते हैं, या सेवा को दुर्भावनापूर्ण कार्यों के लिए उपयोग कर सकते हैं। चूंकि लॉग व्यूअर अक्सर सिस्टम गतिविधि को देखने के लिए उपयोग किया जाता है, इसलिए हमलावर सिस्टम के बारे में महत्वपूर्ण जानकारी प्राप्त करने के लिए इस भेद्यता का उपयोग कर सकते हैं। यह भेद्यता अन्य प्रणालियों में आगे बढ़ने के लिए एक प्रारंभिक बिंदु के रूप में भी काम कर सकती है, खासकर यदि coolercontrol-ui नेटवर्क के भीतर अन्य महत्वपूर्ण प्रणालियों से जुड़ा हुआ है।

Organizations using coolercontrol-ui in production environments, particularly those with publicly accessible log viewers, are at risk. Shared hosting environments where multiple users share the same coolercontrol-ui instance are also particularly vulnerable, as an attacker could potentially inject malicious log entries that affect other users.

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i '<script>' 

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'onerror='

• vue / generic web:

curl -s 'http://<coolercontrol-ui-url>/log' | grep -i 'javascript:'

1. 2026-04-08Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-08
3. EPSS अद्यतन2026-04-16

CVE-2026-5301 को कम करने के लिए, तुरंत coolercontrol-ui को संस्करण 4.0.0 में अपडेट करें। यदि अपग्रेड संभव नहीं है, तो लॉग व्यूअर के इनपुट को सख्त रूप से फ़िल्टर करने के लिए एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करने पर विचार करें। लॉग प्रविष्टियों में किसी भी उपयोगकर्ता-प्रदत्त डेटा को सैनिटाइज करें ताकि दुर्भावनापूर्ण स्क्रिप्ट को निष्पादित होने से रोका जा सके। अस्थायी रूप से लॉग व्यूअर सुविधा को अक्षम करना भी एक विकल्प हो सकता है यदि तत्काल अपडेट संभव नहीं है। अपडेट के बाद, यह सुनिश्चित करने के लिए लॉग व्यूअर की कार्यक्षमता का परीक्षण करें कि यह ठीक से काम कर रहा है और कोई नई भेद्यता नहीं है।