CVE-2025-45315
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność XSS w endpointcie /controller/admin.php aplikacji hortusfox-web v4.4 umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript do parametru email, który jest wykonywany w przeglądarce ofiary.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść dane uwierzytelniające lub przeprowadzić inne działania w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować hortusfox-web do najnowszej wersji oraz zastosować walidację i kodowanie danych wejściowych dla parametru email w endpointcie /controller/admin.php.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the /controller/admin.php endpoint of hortusfox-web v4.4 allows attackers to execute arbitrary JavaScript in the context of a user's browser via a crafted payload injected into the email parameter.