← Back
CVE-2026-48026
high
CVSS 8.7
lakeFS is an open-source tool that transforms object storage into a Git-like repositories. Prior to version 1.81.1 of the open source edition and 1.84.0 of the enterprise edition, lakeFS Web UI render...
Summary
lakeFS is an open-source tool that transforms object storage into a Git-like repositories. Prior to version 1.81.1 of the open source edition and 1.84.0 of the enterprise edition, lakeFS Web UI renders markdown files from repository objects without sanitizing the resulting HTML. A user with write ac...
AI summary openai / gpt-4o
lakeFSはオブジェクトストレージをGitのようなリポジトリに変換するオープンソースツールです。バージョン1.81.1未満のオープンソースエディションおよび1.84.0未満のエンタープライズエディションでは、マークダウンファイル内のHTMLを適切にサニタイズせずにレンダリングすることでXSSを引き起こします。ユーザーがリポジトリ内に悪意ある`.md`ファイルをコミットすることでスクリプトを実行可能です。この問題は修正版で修正されています。
❓ What is the problem
lakeFSのWeb UIにおけるXSSの脆弱性。
📍 Affected scope
バージョン1.81.1未満のオープンソースエディションおよび1.84.0未満のエンタープライズエディション。
🔥 Severity
任意のHTML/JavaScriptを実行可能であり、高度な権限を持つ攻撃を許す可能性がある。
🔧 How to fix
lakeFSはv1.81.1、lakeFSエンタープライズはv1.84.0にアップデートする。
🛡️ Workaround
エンタープライズエディションにおいて、一時的にMarkdownレンダリングを無効化する設定を追加。
🔍 Detection
指定されたバージョン以下であれば影響を受ける。
References
- web [email protected]
- web [email protected]