CVE-2026-115541

HumHub 1.19.0 - Stored cross-site scripting in friendship confirmation

CVSS 3.1Medium

7.2/ 10.0

Опубликовано

3 ноября 2026 г.

Обновлено

3 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Исправленная версия не указана. Проверьте бюллетень производителя.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В HumHub Community Edition 1.19.0 обнаружен сохранённый межсайтовый скриптинг (Stored XSS) в диалоге подтверждения дружбы. Ошибка приводит к выполнению произвольного кода разметки в контексте origin жертвы.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Аутентифицированный непривилегированный участник может сохранить произвольный HTML в полях имени и фамилии. При открытии другим пользователем вкладки Friends декодированное имя передаётся в модальное окно через jQuery html().

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение внедрённой разметки и скриптов злоумышленника в контексте origin жертвы внутри HumHub.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)

fluidattacks.comhttps://fluidattacks.com/advisories/toujours
github.comhttps://github.com/humhub/humhub
github.comhttps://github.com/humhub/humhub/security/advisories/GHSA-ph8x-wg86-qp2m
github.comhttps://github.com/humhub/humhub/pull/8624
github.comhttps://github.com/humhub/humhub/pull/8625
github.comhttps://github.com/humhub/humhub/releases/tag/v1.19.3
github.comhttps://github.com/humhub/humhub/releases/tag/v1.18.7

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-115541: HumHub 1.19.0 - Stored cross-site scripting in friendship confirmation. URL: https://cve.futuretools.ru/cve/CVE-2026-115541

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_115541,
  title = {{CVE-2026-115541: HumHub 1.19.0 - Stored cross-site scripting in friendship confirmation}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-115541}},
  note = {Оперативный инженерный анализ киберугроз}
}