CVE-2021-46355
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
OCS Inventory 2.9.1 zawiera podatność na Stored Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę, manipulując nazwą urządzenia (np. drukarki) na komputerze ofiary, zastępując ją złośliwym kodem.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce administratora lub innego użytkownika przeglądającego dane inwentaryzacyjne, co może prowadzić do kradzieży sesji, wycieku danych lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację OCS Inventory do wersji nowszej niż 2.9.1, która zawiera poprawkę eliminującą podatność XSS. Należy również rozważyć filtrowanie i sanityzację danych wejściowych dla nazw urządzeń.
Inne podatności w OCS Inventory
Zobacz wszystkie- CVE-2026-76177Wysokie
Podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /ocsreports/?function=tele_activate z powodu niewystarczającej walidacji parametrów HTTPS_SERV i FILE_SERV. Uwierzytelniony użytkownik z uprawnieniami operatora może podać dowolne wartości tych parametrów, powodując, że serwer OCS Inventory wykonuje żądania HTTP/HTTPS do zewnętrznych systemów lub wewnętrznych zasobów, co może umożliwić dostęp do wewnętrznych usług sieciowych lub metadanych usług chmurowych.
- CVE-2026-76176Wysokie
Podatność na wstrzykiwanie SQL w punkcie końcowym /ocsreports/index.php?function=admin_double z powodu nieprawidłowego przetwarzania wartości w polu ID zawartym w parametrze selected_grp_dupli[]. Uwierzytelniony użytkownik z uprawnieniami operatora może manipulować tymi wartościami, aby zmienić zapytania SQL wykonywane przez aplikację i uzyskać informacje przechowywane w bazie danych.
- CVE-2026-76175Wysokie
Podatność na wstrzykiwanie SQL w parametrze del_check punktu końcowego /ocsreports/?function=save_query_list. Dane wejściowe dostarczone przez uwierzytelnionego użytkownika z uprawnieniami operatora są włączane do zapytania SQL bez odpowiedniej parametryzacji lub walidacji, co pozwala na manipulację zapytaniem i wyodrębnienie informacji z bazy danych za pomocą technik wstrzykiwania SQL.
Oryginalny opis (angielski, źródło NVD)
OCS Inventory 2.9.1 is affected by Cross Site Scripting (XSS). To exploit the vulnerability, the attacker needs to manipulate the name of some device on your computer, such as a printer, replacing the device name with some malicious code that allows the execution of Stored Cross-site Scripting (XSS).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS