CVE-2025-35029
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Medical Informatics Engineering Enterprise Health występuje podatność typu Stored XSS, która pozwala uwierzytelnionemu atakującemu dodać dowolną treść na stronie 'Demographic Information'. Treść ta jest renderowana i wykonywana, gdy ofiara uzyska do niej dostęp. Problem naprawiono 2025-03-14.
Ocena ryzyka
Złośliwe skrypty mogą wykonywać się w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji lub nieautoryzowanych działań.
Rekomendacja
Zastosuj poprawkę wydaną po 2025-03-14 i wdróż walidację oraz sanityzację danych wejściowych w formularzach.
Inne podatności w Enterprise Health
Zobacz wszystkie- CVE-2025-35034Średnie
Medical Informatics Engineering Enterprise Health ma podatność typu reflected XSS w parametrze URL 'portlet_user_id'. Zdalny, nieuwierzytelniony atakujący może spreparować URL, który wykona dowolny kod JavaScript w przeglądarce ofiary. Podatność została naprawiona 2025-03-14.
- CVE-2025-35032Niskie
W Medical Informatics Engineering Enterprise Health uwierzytelnieni użytkownicy mogą przesyłać dowolne pliki. Wpływ tego zachowania zależy od sposobu dostępu do plików. Problem został naprawiony od 2025-04-08.
- CVE-2025-35031Niskie
System Medical Informatics Engineering Enterprise Health umieszcza bieżący token sesji użytkownika w danych wyjściowych debugowania. Atakujący może nakłonić użytkownika do przesłania tych danych, a następnie podszyć się pod niego. Problem został naprawiony 2025-04-08.
Oryginalny opis (angielski, źródło NVD)
Medical Informatics Engineering Enterprise Health has a stored cross site scripting vulnerability that allows an authenticated attacker to add arbitrary content in the 'Demographic Information' page. This content will be rendered and executed when a victim accesses it. This issue is fixed as of 2025-03-14.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS