CVE-2026-123364 Cross-site scripting (XSS) almacenado en OctoPrint mediante parámetros de conexión guardados
Desde la 2.0.0rc1 hasta la 2.0.0rc7, un usuario autenticado puede enviar un puerto o baudrate predeterminado manipulado en una solicitud de conexión al plugin Serial Connector incluido; OctoPrint guarda esos valores en printerConnection.preferred.parameters.port o printerConnection.preferred.parameters.baudrate y los renderiza como HTML cuando otro usuario ve los parámetros de conexión guardados, lo que permite ejecutar scripts en el navegador de ese usuario y realizar acciones con sus permisos en OctoPrint. Se…
CVSS 4.0
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
OctoPrint
>= 2.0.0rc1, < 2.0.0rc7
Qué hacer
- Verificá si usás OctoPrint y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 2.4 BAJA
CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:L/SC:L/SI:L/SA:N
- Vector de ataqueRed adyacente
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Baja
- Integridad (sistemas posteriores)Baja
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
OctoPrint provides a web interface for controlling consumer 3D printers. From 2.0.0rc1 until 2.0.0rc7, an authenticated user can supply a crafted default port or baudrate through a connect request to the bundled Serial Connector plugin. OctoPrint persists these values in printerConnection.preferred.parameters.port or printerConnection.preferred.parameters.baudrate and renders them as HTML when another user views the saved connection parameters, allowing script execution in that user's browser and actions within the user's OctoPrint access. This issue is fixed in version 2.0.0rc7.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.