CVE-2025-40708
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/event", aby przechwycić dane sesji uwierzytelnionego użytkownika.
Ocena ryzyka
Uwierzytelniony użytkownik może zostać zmuszony do wykonania złośliwego skryptu, co prowadzi do kradzieży ciasteczek sesyjnych i przejęcia konta. Stanowi to ryzyko dla poufności danych w systemie OpenAtlas.
Rekomendacja
Zaktualizuj OpenAtlas do wersji nowszej niż 8.9.0, jeśli jest dostępna, lub wdroż dodatkową walidację i sanityzację danych wejściowych dla parametru "name" w żądaniu "/insert/event".
Inne podatności w OpenAtlas
Zobacz wszystkie- CVE-2025-40709Średnie
W OpenAtlas v8.9.0 występuje podatność typu cross-site scripting (XSS) wynikająca z nieodpowiedniej walidacji danych wejściowych podczas wysyłania żądania POST. Zdalny użytkownik może wysłać spreparowane zapytania do uwierzytelnionego użytkownika poprzez parametry "name" i "alias-0" w żądaniu "/insert/person/<ID>".
- CVE-2025-40707Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametry "name" i "alias-0" w żądaniu "/insert/place", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40706Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/source", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40705Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/acquisition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40704Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/edition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40703Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametry "name" i "alias-0" w żądaniu "/insert/group", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40702Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametry "creator" i "license_holder" w żądaniu "/insert/file", aby przechwycić dane sesji uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in OpenAtlas v8.9.0 from the Austrian Centre for Digital Humanities and Cultural Heritage (ACDH-CH), due to inadequate validation of user input when a POST request is sent. The vulnerabilities could allow a remote user to send specially crafted queries to an authenticated user and steal their session cookie details, via the "/insert/event" petition, "name" parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS