CVE-2025-45313
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność XSS w endpointcie /tasks aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez parametr title. Atak może zostać wykonany bez uwierzytelnienia, jeśli aplikacja nie wymaga autoryzacji dla tego endpointu.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkownika, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary. Atak może prowadzić do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Należy natychmiast zaktualizować hortusfox-web do najnowszej wersji, która zawiera poprawkę dla tej podatności. Do czasu aktualizacji zaleca się walidację i sanityzację danych wejściowych dla parametru title w endpointcie /tasks.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the /tasks endpoint of hortusfox-web v4.4 allows attackers to execute arbitrary JavaScript in the context of a user's browser via a crafted payload injected into the title parameter.