CVE-2025-45313
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność XSS w endpointcie /tasks aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez parametr title. Atak może zostać wykonany bez uwierzytelnienia, jeśli aplikacja nie wymaga autoryzacji dla tego endpointu.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkownika, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary. Atak może prowadzić do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Należy natychmiast zaktualizować hortusfox-web do najnowszej wersji, która zawiera poprawkę dla tej podatności. Do czasu aktualizacji zaleca się walidację i sanityzację danych wejściowych dla parametru title w endpointcie /tasks.
Inne podatności w hortusfox-web
Zobacz wszystkie- CVE-2026-92980Wysokie
HortusFox-Web przed wersją 6.1 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW poprzez nadużycie funkcji Import/Export. Atakujący mogą wykorzystać funkcję Import/Export, przeznaczoną wyłącznie do przenoszenia danych, do wdrożenia i wykonania złośliwego kodu na hoście serwera aplikacji.
- CVE-2025-45315Średnie
Podatność XSS w endpointcie /controller/admin.php aplikacji hortusfox-web v4.4 umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript do parametru email, który jest wykonywany w przeglądarce ofiary.
- CVE-2025-45314Średnie
Podatność XSS w punkcie końcowym /Calendar aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do funkcji dodawania, który wykonuje się w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the /tasks endpoint of hortusfox-web v4.4 allows attackers to execute arbitrary JavaScript in the context of a user's browser via a crafted payload injected into the title parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS