CVE-2026-85183: CORS-fejl i Taipy socket.io-server

CVE-2026-85183 er en fejl i Taipy, et Python-baseret framework til at bygge webdashboards og dataapplikationer. Taipy bruger socket.io til at holde en løbende forbindelse mellem browser og server, den såkaldte websocket. Fejlen ligger i, at Taipy som standard tillader forbindelser fra alle websteder, jokertegn i CORS-opsætningen (cross-origin resource sharing, som styrer hvilke andre websteder må tale med jeres server), samtidig med at login-oplysninger (credentials) sendes med. Kombinationen betyder, at et hvilket som helst andet websted kan oprette en fuldt autentificeret websocket-forbindelse til jeres Taipy-app og herefter ændre tilstandsvariabler eller udløse handlinger i appen, uden den normale beskyttelse mod CSRF (cross-site request forgery, hvor et ondsindet websted misbruger brugerens eksisterende login).

Det rammer virksomheder og kommuner, der bruger Taipy til at bygge interne dashboards, dataanalyseværktøjer eller administrationspaneler, som tilgås via browser. Det gælder især installationer, hvor brugere er logget ind, mens de browser på andre websteder, for eksempel medarbejdere med Taipy-dashboards åbne i en fane sammen med almindelig internetbrug. Alle versioner af Taipy, der bruger standardopsætningen af socket.io uden en eksplicit liste over tilladte origins, er berørt.

En angriber laver en almindelig webside med skjult kode og lokker en medarbejder til at besøge den, mens medarbejderen er logget ind i jeres Taipy-app i en anden fane. Browseren opretter automatisk en autentificeret websocket-forbindelse til jeres app, og angriberens kode kan herefter ændre data eller udløse funktioner i appen på medarbejderens vegne, uden medarbejderen bemærker det. Da fortrolighed og integritet begge er ramt hårdt, kan det både betyde uautoriseret adgang til data i dashboardet og uønskede ændringer i den underliggende applikation.

CVSS-score er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode eller rettigheder (PR:N) og kan udføres over almindeligt netværk (AV:N) med lav teknisk kompleksitet (AC:L). Det kræver dog, at offeret klikker på et link eller besøger en side, mens de er logget ind (UI:R), hvorfor det ikke kan udføres helt uden brugerhandling. Der er ikke oplysninger om, at fejlen er udnyttet i praksis endnu, men den tekniske barriere for et angreb er lav.

I skal ikke stole på Taipys standardopsætning af CORS. Gør følgende:

1. Konfigurer socket.io i jeres Taipy-app med en eksplicit liste over tilladte origins i stedet for jokertegn, og slå credentials fra for alle andre origins. Dette lukker selve hullet.
2. Undersøg om der findes en nyere version af Taipy med en sikrere standardopsætning, og opdater hvis muligt.
3. Gennemgå logs for websocket-forbindelser fra domæner, I ikke selv driver eller har godkendt.
4. Begræns adgangen til Taipy-applikationer, så de kun er tilgængelige internt eller via VPN, hvor det er muligt.
5. Informer medarbejdere, der bruger Taipy-dashboards, om ikke at have dem åbne sammen med ukendte websteder, indtil konfigurationen er rettet.
6. Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv kan verificere eller ændre CORS-opsætningen i jeres Taipy-installation.