CVE-2022-35497

ŚrednieCVSS 5.4

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

W Trimble TM4WEB 21.4.0.4 z powodu błędnej konfiguracji zabezpieczeń identyfikatorów sesji możliwe jest odzyskanie ważnych ciasteczek sesji poprzez odbity cross-site scripting wpływający na endpoint zewnętrznego przeglądania dokumentów.

Ocena ryzyka

Atakujący może przechwycić sesję użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych i funkcji systemu.

Rekomendacja

Należy zaktualizować Trimble TM4WEB oraz poprawić konfigurację sesji, w tym używać bezpiecznych flag ciasteczek i zabezpieczeń przed XSS.

Inne podatności w Trimble TM4WEB

CVE-2022-35499Wysokie
W Trimble TM4WEB 21.4.0.4 endpoint zewnętrznego podglądu faktur jest podatny na odbity cross-site scripting poprzez wstrzyknięcie w dowolny parametr dodany do URL.

Oryginalny opis (angielski, źródło NVD)

In Trimble TM4WEB 21.4.0.4 due to security misconfiguration with session identifiers, it is possible to recover valid session cookies via reflected cross-site scripting affecting the external document viewer endpoint.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS