CVE-2025-40693
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
System Online Fire Reporting System v1.2 od PHPGurukul zawiera podatność na Stored XSS w punkcie końcowym '/ofrs/admin/edit-team.php'. Brak walidacji parametrów 'tname' (GET) oraz 'teamleadname', 'teammember' i 'teamname' (POST) umożliwia atakującemu wstrzyknięcie złośliwego skryptu, który może zostać zapisany i wykonany u uwierzytelnionego użytkownika.
Ocena ryzyka
Atakujący może wysłać spreparowane zapytanie do uwierzytelnionego użytkownika, co może prowadzić do kradzieży ciasteczek sesji i przejęcia konta.
Rekomendacja
Zastosuj odpowiednią walidację i sanityzację danych wejściowych w parametrach 'tname', 'teamleadname', 'teammember' i 'teamname' oraz rozważ aktualizację systemu do wersji z poprawkami bezpieczeństwa.
Inne podatności w Online Fire Reporting System
Zobacz wszystkie- CVE-2025-40690Krytyczne
Podatność SQL Injection w Online Fire Reporting System v1.2 firmy PHPGurukul. Umożliwia atakującemu odczyt, tworzenie, aktualizację i usuwanie baz danych przez parametr 'teamid' w punkcie końcowym '/ofrs/admin/edit-team.php'.
- CVE-2022-34611Średnie
W systemie Online Fire Reporting System v1.0 wykryto podatność na atak XSS w skrypcie /index.php/?p=report. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML przez pole tekstowe "Contac #".
Oryginalny opis (angielski, źródło NVD)
Stored Cross Site Scripting in Online Fire Reporting System v1.2 by PHPGurukul, that consists in a reflected and stored authenticated XSS due to the lack of propper validation of user inputs 'tname' parameter via GET and, 'teamleadname', 'teammember' and 'teamname' parameters via POST at the endpoint '/ofrs/admin/edit-team.php'. This vulnerability could allow a remote user to send a specially crafted query to an authenticated user and steal its cookie session details.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS