CVE-2026-42553 in cinny
Сводка
по VulDB • 27.05.2026
Cinny — это клиент Matrix. До версии 4.10.3 удаленный атакующий, имеющий доступ к комнате с жертвой и права на создание эмотиконов (например, в личном сообщении), может заставить клиент жертвы отправить свой токен доступа Matrix на сервер, контролируемый атакующим. Это происходит, когда жертва открывает палитру эмодзи или стикеров для комнаты, содержащей вредоносный пакет эмотиконов. Уязвимость вызвана некорректной логикой резервного копирования (fallback) в EmojiBoard, которая использует непроверенный параметр pack.meta.avatar (контролируемый пользователем) без преобразования или проверки его как URL-адреса MXC, что позволяет использовать произвольные URL-адреса HTTP(S). Кроме того, сервис-воркер прикрепляет токен авторизации Bearer пользователя ко всем исходящим GET-запросам, URL-адрес которых содержит пути /_matrix/client/v1/media/download или /_matrix/client/v1/media/thumbnail, без проверки того, соответствует ли хост запроса настроенному исходному адресу (origin) домашнего сервера. Атакующий, контролирующий URL-адрес, содержащий эти фрагменты путей и разрешающий CORS, получит заголовок Authorization жертвы (токен доступа). Эта уязвимость исправлена в версии 4.10.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.