CVE-2025-12230
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Zidentyfikowano słabość typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/currencies/create na stronie walut. Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Osoba atakująca może zdalnie wykonać złośliwy skrypt w przeglądarce użytkownika panelu administracyjnego, co może skutkować przejęciem sesji lub wyciekiem danych. Publiczna dostępność exploitu zwiększa prawdopodobieństwo ataku.
Rekomendacja
Należy zaktualizować Expense Management System do wersji naprawionej lub wdrożyć walidację i sanityzację danych wejściowych na stronie walut. Do czasu poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w projectworlds Expense Management System
Zobacz wszystkie- CVE-2025-12231Niskie
Wykryto podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/expense_categories/create na stronie kategorii wydatków. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12229Niskie
Odkryto lukę bezpieczeństwa typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Dotyczy ona nieznanej funkcji w pliku /public/admin/roles/create na stronie ról. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-12228Niskie
Zidentyfikowano podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatny jest nieznany fragment kodu w pliku /public/admin/users/create na stronie użytkowników. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in projectworlds Expense Management System 1.0. This impacts an unknown function of the file /public/admin/currencies/create of the component Currency Page. This manipulation causes cross site scripting. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS