CVE-2025-12231
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wykryto podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/expense_categories/create na stronie kategorii wydatków. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Osoba atakująca może zdalnie wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora, co może prowadzić do kradzieży sesji lub danych. Ponieważ exploit jest publicznie dostępny, ryzyko wykorzystania jest wysokie.
Rekomendacja
Należy niezwłocznie zaktualizować system Expense Management System do wersji pozbawionej podatności lub zastosować walidację i sanityzację danych wejściowych na stronie kategorii wydatków. Do czasu dostępności poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w projectworlds Expense Management System
Zobacz wszystkie- CVE-2025-12230Niskie
Zidentyfikowano słabość typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatna jest nieznana funkcja w pliku /public/admin/currencies/create na stronie walut. Atak można zainicjować zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-12229Niskie
Odkryto lukę bezpieczeństwa typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Dotyczy ona nieznanej funkcji w pliku /public/admin/roles/create na stronie ról. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony.
- CVE-2025-12228Niskie
Zidentyfikowano podatność typu cross site scripting w systemie Expense Management System 1.0 firmy projectworlds. Podatny jest nieznany fragment kodu w pliku /public/admin/users/create na stronie użytkowników. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in projectworlds Expense Management System 1.0. Affected is an unknown function of the file /public/admin/expense_categories/create of the component Expense Categories Page. Such manipulation leads to cross site scripting. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS