CVE-2025-40643
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Energy CRM v2025 firmy Status Tracker Ltd zawiera podatność typu Stored Cross-Site Scripting (XSS) wynikającą z braku właściwej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST do '/crm/create_job_submit.php' z parametrem 'JobCreatedBy'. Podatność może pozwolić zdalnemu użytkownikowi na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież szczegółów sesji cookie.
Ocena ryzyka
Atakujący może ukraść sesję uwierzytelnionego użytkownika, co może prowadzić do nieautoryzowanego dostępu do systemu CRM i ujawnienia danych. Ryzyko dotyczy wszystkich instalacji Energy CRM v2025.
Rekomendacja
Zaktualizuj Energy CRM do najnowszej wersji, która usuwa podatność, lub skontaktuj się z dostawcą w celu uzyskania poprawki. W międzyczasie rozważ wdrożenie dodatkowych zabezpieczeń, takich jak walidacja danych wejściowych po stronie serwera.
Inne podatności w Energy CRM
Oryginalny opis (angielski, źródło NVD)
Stored Cross-Site Scripting (XSS) vulnerability in Energy CRM v2025 by Status Tracker Ltd, consisting of a stored XSS due to lack of proper validation of user input by sending a POST request to “/crm/create_job_submit.php”, using the “JobCreatedBy” parameter. This vulnerability could allow a remote user to send a specially crafted query to an authenticated user and steal their cookie session details.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS