CVE-2026-1010
Stored Cross-Site Scripting nel motore di workflow di Altium Enterprise Server consente l'escalation dei privilegi
- Pubblicato
- 15 gen 2026
- Aggiornato
- 5 feb 2026
- Assegnazione CNA
- Altium
- Evidenza osservata
- 10 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 25,3%
- Data del modello
- 13 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Una vulnerabilità di cross-site scripting (XSS) memorizzato esiste nel motore di workflow di Altium a causa della mancata sanificazione lato server dell'input nelle API di invio dei moduli di workflow. Un utente autenticato regolare può iniettare JavaScript arbitrario nei dati del workflow. Quando un amministratore visualizza il workflow interessato, il payload iniettato viene eseguito nel contesto del browser dell'amministratore, consentendo l'escalation dei privilegi, inclusa la creazione di nuovi account amministratore, il furto di token di sessione e l'esecuzione di azioni amministrative.
Fonti
Exploit proof-of-concept per CVE-2026-1010, che dimostra lo smuggling di connessioni WebSocket e il request splitting tramite un header Upgrade malformato contro configurazioni reverse proxy/backend.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.