CVE-2026-55562 in Cronicle
要約
〜によって VulDB • 2026年10月13日
Cronicleは、WebベースのフロントエンドUIを備えたマルチサーバータスクスケジューラーおよびランナーです。バージョン0.9.119より前では、htdocs/js/pages/admin/Activity.js内の管理者用アクティビティログが、encode_entitiesによるエンコーディングを適用せずに攻撃者が制御できるitem.user.full_nameの値をHTMLに連結し、この.div.htmlを通じて結果を挿入します。バンドルされているpixl-server-userの入力フィルターは、改行を含むタグによって回避可能であり、その正規表現は改行と一致しないためです。認証済みで管理者ではないユーザーは、有効なセッションと現在のパスワードを使用して/api/user/update経由で攻撃者自身の名前を更新できます；free_accountsが有効になっている場合、匿名の攻撃者は自己登録時に代わりに名前を仕掛けることができます。保存された名前はアクティビティログが開かれた際に管理者のセッション内でスクリプトを実行し、管理者権限の乗っ取りとその後の特権機能を通じたコマンド実行を可能にします。この問題はバージョン0.9.119で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.