CVE-2026-50571
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
WebSub to rekomendacja W3C opracowana przez Grupę Roboczą Social Web. W zaleceniu REC-websub-20180123 protokół weryfikacji zamiaru wymaga od subskrybenta powtórzenia wartości `hub.challenge`, również ujawnianej przez niektóre frameworki jako `hub_challenge`, ale nie wymaga bezpiecznego wpisywania nośnika odpowiedzi ani wyłączonego wąchania MIME. Osoba atakująca może zainicjować subskrypcję w celu uzyskania adresu URL wywołania zwrotnego i przekierować przeglądarkę ofiary do spreparowanego żądania weryfikacji zawierającego kod HTML lub JavaScript. Abonenci, którzy zwrócą wezwanie jako `text/html`, mogą wykonać odzwierciedloną treść w źródle subskrybenta, wykorzystując istniejącą sesję ofiary do odczytania prywatnych danych lub wykonania działań, ujawniając `localStorage` lub `sessionStorage` oraz uprawnienia przeglądarki przyznane temu źródłu. Alternatywa wykorzystuje odpowiedź weryfikacyjną jako kontrolowany przez atakującego zasób skryptu tego samego pochodzenia w celu ominięcia `script-src 'self'`; może to pozostać możliwe w przypadku „aplikacji/strumienia oktetu”, gdy dozwolone jest wąchanie MIME. Bezpieczne pisanie multimediów i `X-Content-Type-Options: nosniff` są potrzebne, aby uwzględnić opisane scenariusze. Firma WebSub Rocks wykazała refleksję, ale porada nie wykazała praktycznego wpływu na tę witrynę demonstracyjną.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org