CVE-2025-35034
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Medical Informatics Engineering Enterprise Health ma podatność typu reflected XSS w parametrze URL 'portlet_user_id'. Zdalny, nieuwierzytelniony atakujący może spreparować URL, który wykona dowolny kod JavaScript w przeglądarce ofiary. Podatność została naprawiona 2025-03-14.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, danych logowania lub innych poufnych informacji.
Rekomendacja
Upewnij się, że system Enterprise Health został zaktualizowany do wersji zawierającej poprawkę z 2025-03-14. Wdroż mechanizmy walidacji i kodowania danych wejściowych.
Inne podatności w Enterprise Health
Zobacz wszystkie- CVE-2025-35032Niskie
W Medical Informatics Engineering Enterprise Health uwierzytelnieni użytkownicy mogą przesyłać dowolne pliki. Wpływ tego zachowania zależy od sposobu dostępu do plików. Problem został naprawiony od 2025-04-08.
- CVE-2025-35031Niskie
System Medical Informatics Engineering Enterprise Health umieszcza bieżący token sesji użytkownika w danych wyjściowych debugowania. Atakujący może nakłonić użytkownika do przesłania tych danych, a następnie podszyć się pod niego. Problem został naprawiony 2025-04-08.
Oryginalny opis (angielski, źródło NVD)
Medical Informatics Engineering Enterprise Health has a reflected cross site scripting vulnerability in the 'portlet_user_id' URL parameter. A remote, unauthenticated attacker can craft a URL that can execute arbitrary JavaScript in the victim's browser. This issue is fixed as of 2025-03-14.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS