CVE-2025-2610

WysokieCVSS 7.6

Opublikowano: 21/03/2025(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.92%

Percentyl 57 - wyżej niż 57% wszystkich znanych CVE

Streszczenie

W MagnusBilling do wersji 7.3.0 w module Alarm stwierdzono podatność na przechowywany atak XSS. Brak odpowiedniej neutralizacji danych wejściowych w pliku protected/components/MagnusLog.Php umożliwia uwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu.

Ocena ryzyka

Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne działania w kontekście ich przeglądarki, co zagraża poufności i integralności danych w systemie.

Rekomendacja

Należy niezwłocznie zaktualizować MagnusBilling do najnowszej dostępnej wersji oraz zastosować odpowiednie filtry wejścia i kodowanie wyjścia w pliku MagnusLog.Php.

Inne podatności w MagnusBilling

CVE-2025-2609Wysokie
W systemie MagnusBilling do wersji 7.3.0 włącznie, w pliku protected/components/MagnusLog.php występuje podatność na ataki XSS (Cross-Site Scripting). Niezautoryzowani użytkownicy mogą przechowywać złośliwy kod HTML w logach logowania, który jest następnie wyświetlany w komponencie widoku logów dostępnym pod adresem /mbilling/index.php/logUsers/read.

Oryginalny opis (angielski, źródło NVD)

Improper neutralization of input during web page generation vulnerability in MagnusSolution MagnusBilling (Alarm Module modules) allows authenticated stored cross-site scripting. This vulnerability is associated with program files protected/components/MagnusLog.Php. This issue affects MagnusBilling: through 7.3.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS