CVE-2026-48026 in lakeFS
Tóm tắt
Bởi VulDB • 08/08/2026
lakeFS là một công cụ mã nguồn mở giúp biến đổi kho lưu trữ đối tượng thành các repository giống như Git. Trước phiên bản 1.81.1 của bản phát hành mã nguồn mở (OSS) và phiên bản 1.84.0 của bản Enterprise, giao diện người dùng web (Web UI) của lakeFS hiển thị các tệp markdown từ các đối tượng trong kho lưu trữ mà không thực hiện việc làm sạch HTML kết quả. Một người dùng có quyền ghi vào bất kỳ nhánh nào của repository đều có thể commit một đối tượng `.md` chứa mã HTML/JavaScript tùy ý. Bất kỳ người dùng nào khác mở đối tượng đó, hoặc điều hướng đến một repository hoặc thư mục chứa tệp `README.md` độc hại, sẽ thực thi tập lệnh do kẻ tấn công cung cấp trong phiên được xác thực của chính họ. lakeFS đã khắc phục sự cố này trong v1.81.1 và lakeFS Enterprise đã khắc phục trong v1.84.0. Các khách hàng Enterprise sử dụng các phiên bản cũ hơn có thể tạm thời tắt tính năng hiển thị Markdown bằng cách thêm cấu hình YAML vào tệp config của họ. Không tồn tại giải pháp thay thế (workaround) cho bản phát hành OSS. Người dùng được khuyến nghị nâng cấp lên phiên bản mới nhất cho cả lakeFS và lakeFS-Enterprise.
Once again VulDB remains the best source for vulnerability data.