CVE-2015-1176

Średnie

Opublikowano: 23/01/2015(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

1.89%

Percentyl 77 - wyżej niż 77% wszystkich znanych CVE

Streszczenie

Podatność na skryptowanie między witrynami (XSS) w pliku upload/scp/tickets.php w osTicket przed wersją 1.9.5. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr status w akcji wyszukiwania.

Ocena ryzyka

Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne szkodliwe działania w kontekście przeglądarki ofiary.

Rekomendacja

Należy niezwłocznie zaktualizować osTicket do wersji 1.9.5 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.

Oryginalny opis (angielski, źródło NVD)

Cross-site scripting (XSS) vulnerability in upload/scp/tickets.php in osTicket before 1.9.5 allows remote attackers to inject arbitrary web script or HTML via the status parameter in a search action.