CVE-2025-5347
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5723 jest podatny na Stored Cross Site Scripting w module raportów. Podatność pozwala na wstrzyknięcie złośliwego skryptu, który jest przechowywany i wykonywany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście sesji użytkownika, co może prowadzić do kradzieży danych lub przejęcia konta. Wymaga interakcji użytkownika z zainfekowanym raportem.
Rekomendacja
Należy zaktualizować ManageEngine Exchange Reporter Plus do wersji 5723 lub nowszej. Zaleca się również wdrożenie polityki bezpieczeństwa przeglądarek i szkolenie użytkowników.
Inne podatności w ManageEngine Exchange Reporter Plus
Zobacz wszystkie- CVE-2026-27655Wysokie
Podatność Stored XSS w raporcie 'Permissions Based on Mailboxes' w ManageEngine Exchange Reporter Plus przed wersją 5802 umożliwia atakującemu wstrzyknięcie złośliwego skryptu, który jest trwale przechowywany na serwerze.
- CVE-2026-4108Wysokie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5802 jest podatny na trwałe XSS w raporcie uprawnień skrzynek niebędących właścicielami.
- CVE-2026-4107Wysokie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5802 jest podatny na trwałe XSS w raporcie Folder Message Count and Size. Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany w przeglądarkach innych użytkowników.
- CVE-2026-3880Wysokie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5802 jest podatny na trwałe XSS w raporcie uprawnień klienta folderu publicznego.
- CVE-2026-3879Wysokie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5802 jest podatny na trwałe XSS w raporcie 'Equipment Mailbox Details'.
- CVE-2026-28703Wysokie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5802 jest podatny na trwałe XSS w raporcie wymiany wiadomości między użytkownikami.
- CVE-2026-28756Wysokie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5802 jest podatny na trwałe XSS w raporcie uprawnień opartych na grupach dystrybucyjnych.
- CVE-2026-28754Wysokie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach przed 5802 jest podatny na trwałe XSS w raporcie list dystrybucyjnych.
- CVE-2025-5343Średnie
Zohocorp ManageEngine Exchange Reporter Plus w wersjach do 5721 jest podatny na Stored Cross Site Scripting w opcji Instant Search. Podatność umożliwia przechowanie złośliwego skryptu, który jest wykonywany w przeglądarce użytkownika.
- CVE-2025-5342Średnie
Zohocorp ManageEngine Exchange Reporter Plus do wersji 5721 jest podatny na atak ReDoS w module wyszukiwania.
Oryginalny opis (angielski, źródło NVD)
Zohocorp ManageEngine Exchange Reporter Plus versions before 5723 are vulnerable to Stored Cross Site Scripting in the reports module.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS