CVE-2025-45236
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W aplikacji DBSyncer w wersji 2.0.6 w funkcji edycji profilu wykryto podatność na trwały cross-site scripting (XSS). Atakujący może wstrzyknąć złośliwy kod HTML lub JavaScript poprzez parametr Nickname, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia kont użytkowników lub rozprzestrzeniania złośliwego oprogramowania w organizacji. Atak może być wykorzystany do ataków socjotechnicznych na administratorów i personel IT.
Rekomendacja
Należy natychmiast zaktualizować DBSyncer do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do funkcji edycji profilu oraz walidację i sanityzację danych wejściowych w parametrze Nickname.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the Edit Profile feature of DBSyncer v2.0.6 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the Nickname parameter.