CVE-2026-117494：Sisense Cloud BI 平臺多重 XSS 漏洞研究
CVE-2026-117494 - Multiple vulnerabilities in Sisense’s Cloud BI Platform
CVE-2026-117494 係一個跨站指令碼（XSS）漏洞，存在於 Sisense Cloud BI Platform 的 /api/v2/ai/sessions API，攻擊者可透過 SVG 圖片執行任意 JavaScript。
此漏洞揭示 Sisense Cloud BI Platform 的 XSS 漏洞，對安全評估與修補提供具體參考，協助團隊快速定位與修復。
譯文尚未完整，完整內容請切換至原文。
跨站指令碼（XSS）發生於將 SVG 影像以 data:image/svg+xml;base64 格式提交至 /api/v2/ai/sessions API 的處理過程。SVG 中嵌入的
影響
受影響產品
以下產品受到 CVE-2026-117494 漏洞影響。即使 cvefeed.io 已知受影響產品的確切版本，該資訊未在下表中呈現。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Sisense | cloud_bi_platform |
通用漏洞評分系統（Common Vulnerability Scoring System）是一個評估軟體與系統漏洞嚴重程度的標準化框架。我們會從各個來源收集並顯示每個 CVE 的 CVSS 分數。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 4.0 | HIGH | 0cbda920-cd7f-484a-8e76-bf7f4b7f4516 | ||||
| CVSS 4.0 | HIGH | [email protected] |
清理 SVG 輸入以防止指令碼執行並安全渲染內容。
- 驗證並清理所有 SVG 影像上傳。
- 移除或中和嵌入的指令碼標籤。
- 在渲染前編碼或轉義內容。
- 升級至最新安全版本。
此處列出精選外部連結，提供關於 CVE-2026-117494 的深入資訊、實用解決方案與有價值工具。
| URL | Resource |
|---|---|
| https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-sisenses-cloud-bi-platform |
雖然 CVE 會識別漏洞的具體例項，CWE 則對可能導致漏洞的常見缺陷或弱點進行分類。CVE-2026-117494 與以下 CWE 相關：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，描述對手利用 CVE-2026-117494 弱點時常見的特徵與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列出已發布於 GitHub 的公開漏洞與概念驗證（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列出任何文章中提及 CVE-2026-117494 漏洞的新聞。
以下表格列出隨時間變更的 CVE-2026-117494 漏洞變更。
漏洞歷史細節對於瞭解漏洞演變以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更非常有用。
-
新 CVE 已收到 由 [email protected]
十月. 27, 2026
動作 型別 舊值 新值 新增 說明 在將以 data:image/svg+xml;base64 格式提交至 /api/v2/ai/sessions API 的 SVG 影像時，處理 SVG 影像的過程中存在跨站指令碼 (XSS) 漏洞。嵌入在 SVG 中的 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CWE CWE-79 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/117xxx/CVE-2026-117494.json">CVE-2026-117494</a> 新增 參考 https://www.incibe.es/en/incibe-cert/notices/aviso/multiple-vulnerabilities-sisenses-cloud-bi-platform
EPSS 是對未來 30 天內觀測到利用活動機率的每日估算。以下圖表顯示該漏洞的 EPSS 分數歷史。