CVE-2025-12229
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Odkryto lukę bezpieczeństwa typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Dotyczy ona nieznanej funkcji w pliku /public/admin/roles/create na stronie ról. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Osoba atakująca może zdalnie wstrzyknąć złośliwy skrypt wykonywany w przeglądarce administratora, co może prowadzić do kradzieży danych uwierzytelniających lub przejęcia sesji. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy niezwłocznie zaktualizować Expense Management System do wersji pozbawionej podatności lub zastosować walidację i sanityzację danych wejściowych na stronie ról. Do czasu poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w projectworlds Expense Management System
Zobacz wszystkie- CVE-2025-12231Niskie
Wykryto podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/expense_categories/create na stronie kategorii wydatków. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12230Niskie
Zidentyfikowano słabość typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/currencies/create na stronie walut. Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-12228Niskie
Zidentyfikowano podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatny jest nieznany fragment kodu w pliku /public/admin/users/create na stronie użytkowników. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in projectworlds Expense Management System 1.0. This affects an unknown function of the file /public/admin/roles/create of the component Roles Page. The manipulation results in cross site scripting. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS