Šta se desilo?

Countly je objavio obaveštenje o sačuvanoj XSS ranjivosti u postupku slanja i pregleda povratnih informacija. Problem je evidentiran kao CVE-2026-44977. Korisnik sa administratorskim pravima ili pravom upisa nad jednom aplikacijom može da postavi zlonamerni sadržaj koji se izvršava u browseru globalnog administratora kada on otvori pregled.

Koga pogađa?

CNA zapis obuhvata countly-server verzije pre 24.05.50, kao i granu od 25.03 do verzije pre 25.03.44. Napad zahteva postojeći pristup aplikaciji i interakciju žrtve. Nije reč o dokazanom preuzimanju operativnog sistema bez autentifikacije.

Kako se zaštititi?

Instalirajte 24.05.50 ili 25.03.44, odnosno noviju ispravljenu verziju odgovarajuće grane. Do ažuriranja izbegavajte otvaranje nepouzdanih pregleda povratnih informacija i ograničite prava upisa. Pregledajte neuobičajene datoteke i aktivnosti administratora; ako postoji sumnja na zloupotrebu, opozovite pogođene sesije i zamenite izložene tokene.

Tehnički detalji

Funkcija uploadFeedbackFile veruje MIME tipu koji šalje klijent, dok javna putanja feedback/preview/ vraća sačuvani sadržaj sa tim tipom. Aktivni HTML ili JavaScript zato može da radi u Countly poreklu i koristi ovlašćenja žrtve, uključujući izložene auth_token i csrf_token vrednosti. GitHub kao CNA u CVE zapisu navodi CVSS 3.1 od 9,0. NVD još nema sopstvenu ocenu. Tekst izvornog advisory-ja navodi neusaglašenih 9,1 uz isti vektor, pa ovde koristimo ocenu CNA zapisa.

Zašto je važno?

Razlika između prava nad pojedinačnom aplikacijom i prava globalnog administratora može biti narušena preko pregleda sadržaja. Pregledani izvori ne potvrđuju aktivnu eksploataciju ni broj žrtava. Objavljeni dokaz koncepta sam po sebi nije dokaz napada u praksi.

Preporuka Sajber Radara

Proverite verziju, primenite ispravku i proverite ko može da postavlja povratne informacije. Rotaciju tokena i opoziv sesija usmerite na naloge kod kojih postoji mogućnost izlaganja, uz istragu sačuvanog sadržaja i evidencije pristupa.