CVE-2026-123094
Huginn before 2026.11.05 Stored XSS via OAuth Service Display Name
CVSS 3.1Medium
5.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Huginn до версии 2026.11.05 или более поздней.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В хелпере service_label приложения Huginn обнаружена сохраненная межсайтовая ратификация (XSS) через отображаемое имя сервиса OAuth. Уязвимость позволяет аутентифицированному пользователю выполнять произвольный JavaScript в браузере жертвы.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Хелпер service_label помечает неэкранированные отображаемые имена OAuth-сервисов как html_safe. Злоумышленник может подключить учетную запись OAuth со специально сформированным псевдонимом, именем или email и сделать ее общедоступной, запуская скрипт при привязке и просмотре сервиса другими пользователями.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Выполнение JavaScript в контексте жертвы, компрометация учетных данных, агентов и событий, а также выполнение административных действий при атаке на администратора.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/huginn/huginn/security/advisories/GHSA-rjw9-xx87-f2ww
- github.comhttps://github.com/huginn/huginn/commit/92229a5e7343bfffc740d31e42b9654b212b678b
- github.comhttps://github.com/huginn/huginn/blob/v2026.11.01/app/helpers/application_helper.rb#L78-L88
- hackmd.iohttps://hackmd.io/@leediay/SJtUoLFTfx
- github.comhttps://github.com/huginn/huginn/releases/tag/v2026.11.05
- github.comhttps://github.com/huginn/huginn
- www.vulncheck.comhttps://www.vulncheck.com/advisories/huginn-before-2026.11.05-stored-xss-via-oauth-service-display-name
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-123094: Huginn before 2026.11.05 Stored XSS via OAuth Service Display Name. URL: https://cve.futuretools.ru/cve/CVE-2026-123094
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_123094,
title = {{CVE-2026-123094: Huginn before 2026.11.05 Stored XSS via OAuth Service Display Name}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-123094}},
note = {Оперативный инженерный анализ киберугроз}
}