CVE-2025-12228
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatny jest nieznany fragment kodu w pliku /public/admin/users/create na stronie użytkowników. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Osoba atakująca może zdalnie wykonać złośliwy skrypt w przeglądarce administratora, co może prowadzić do kradzieży sesji lub danych. Publiczna dostępność exploitu zwiększa prawdopodobieństwo wykorzystania podatności.
Rekomendacja
Należy zaktualizować Expense Management System do wersji naprawionej lub wdrożyć walidację i sanityzację danych wejściowych na stronie użytkowników. Do czasu poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w projectworlds Expense Management System
Zobacz wszystkie- CVE-2025-12231Niskie
Wykryto podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/expense_categories/create na stronie kategorii wydatków. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12230Niskie
Zidentyfikowano słabość typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/currencies/create na stronie walut. Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-12229Niskie
Odkryto lukę bezpieczeństwa typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Dotyczy ona nieznanej funkcji w pliku /public/admin/roles/create na stronie ról. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in projectworlds Expense Management System 1.0. The impacted element is an unknown function of the file /public/admin/users/create of the component Users Page. The manipulation leads to cross site scripting. The attack is possible to be carried out remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS