جزئیات آسیب‌پذیری

CVE-2026-119764

its-a-feature Mythic

Mythic 3.2.16 through 3.4.0.61 Stored XSS via Agent-Downloaded File Preview

CVSS 4.0

7.4بالا

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Mythic 3.2.16 through 3.4.0.61 contains a stored cross-site scripting vulnerability that allows attackers controlling target endpoint files to run JavaScript in the Mythic UI origin by planting HTML in .pdf-named files. When an operator downloads the file and clicks Preview Media, content-sniffed HTML from /direct/view renders same-origin, stealing localStorage JWTs for full GraphQL and REST access.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
7.4بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N`
6.8متوسط	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
its-a-feature	Mythic	3.2.16 ≤ v ≤ 3.4.0.61	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/h00die/mythic_xss third-party-advisory
https://github.com/its-a-feature/Mythic/commit/f06b3ed2d1de6577744cc0b3146966c625685859 patch
https://github.com/its-a-feature/Mythic/blob/33a46d7db7e237458d7e20e7d3cfefef8112e590/MythicReactUI/src/components/pages/Callbacks/ResponseDisplayMedia.js#L335-L336 technical-description
https://github.com/its-a-feature/Mythic product
https://www.vulncheck.com/advisories/mythic-3.2.16-through-3.4.0.61-stored-xss-via-agent-downloaded-file-preview third-party-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۰۸
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۰۸
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۳۱٪

احتمال بهره‌برداری در ۳۰ روز

۲۴٫۶٪

صدک (نسبت به همه‌ی CVEها)

ضعف‌ها (CWE)

CWE-79
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')