CVE-2025-45315
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność XSS w endpointcie /controller/admin.php aplikacji hortusfox-web v4.4 umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript do parametru email, który jest wykonywany w przeglądarce ofiary.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść dane uwierzytelniające lub przeprowadzić inne działania w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować hortusfox-web do najnowszej wersji oraz zastosować walidację i kodowanie danych wejściowych dla parametru email w endpointcie /controller/admin.php.
Inne podatności w hortusfox-web
Zobacz wszystkie- CVE-2026-92980Wysokie
HortusFox-Web przed wersją 6.1 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW poprzez nadużycie funkcji Import/Export. Atakujący mogą wykorzystać funkcję Import/Export, przeznaczoną wyłącznie do przenoszenia danych, do wdrożenia i wykonania złośliwego kodu na hoście serwera aplikacji.
- CVE-2025-45313Średnie
Podatność XSS w endpointcie /tasks aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez parametr title. Atak może zostać wykonany bez uwierzytelnienia, jeśli aplikacja nie wymaga autoryzacji dla tego endpointu.
- CVE-2025-45314Średnie
Podatność XSS w punkcie końcowym /Calendar aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do funkcji dodawania, który wykonuje się w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the /controller/admin.php endpoint of hortusfox-web v4.4 allows attackers to execute arbitrary JavaScript in the context of a user's browser via a crafted payload injected into the email parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS