CVE-2022-35499

WysokieCVSS 7.1

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

W Trimble TM4WEB 21.4.0.4 endpoint zewnętrznego podglądu faktur jest podatny na odbity cross-site scripting poprzez wstrzyknięcie w dowolny parametr dodany do URL.

Ocena ryzyka

Atakujący może wykorzystać podatność do wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków.

Rekomendacja

Należy zaktualizować Trimble TM4WEB do najnowszej wersji oraz zastosować odpowiednie filtrowanie i kodowanie danych wejściowych w parametrach URL.

Inne podatności w Trimble TM4WEB

CVE-2022-35497Średnie
W Trimble TM4WEB 21.4.0.4 z powodu błędnej konfiguracji zabezpieczeń identyfikatorów sesji możliwe jest odzyskanie ważnych ciasteczek sesji poprzez odbity cross-site scripting wpływający na endpoint zewnętrznego przeglądania dokumentów.

Oryginalny opis (angielski, źródło NVD)

In Trimble TM4WEB 21.4.0.4, the external bill viewer endpoint is vulnerable to reflected cross-site scripting via injection in a arbitrary parameter appended to the URL.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS