CVE-2025-11067
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w Projectworlds Visitor Management System 1.0 dotyczy strony dodawania odwiedzającego (/myform.php). Manipulacja argumentem Name prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Ryzyko dla organizacji to możliwość zdalnego wykonania skryptów w przeglądarce, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Należy zaktualizować system do wersji z poprawką lub zastosować filtrowanie wejścia (np. walidację i kodowanie).
Inne podatności w Visitor Management System
Zobacz wszystkie- CVE-2026-10170Średnie
Code-projects Visitor Management System 1.0 ma podatność na wstrzyknięcie SQL w pliku /vms/php/phone_0.php poprzez argument phone. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystywany.
- CVE-2024-22983Wysokie
Podatność SQL injection w systemie Visitor Management System w PHP w wersji 1.0 od Projectworlds umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr name w punkcie końcowym myform.php.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Projectworlds Visitor Management System 1.0. Affected is an unknown function of the file /myform.php of the component Add Visitor Page. The manipulation of the argument Name leads to cross site scripting. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS