CVE-2025-55888

WysokieCVSS 7.3

Opublikowano: 22/09/2025(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W punkcie końcowym menedżera transakcji Ajax w ARD odkryto podatność na ataki typu Cross-Site Scripting (XSS). Atakujący może przechwycić odpowiedź Ajax i wstrzyknąć złośliwy JavaScript do pola accountName, które nie jest odpowiednio oczyszczane ani kodowane podczas renderowania, co umożliwia wykonanie skryptu w przeglądarkach użytkowników.

Ocena ryzyka

Ryzyko obejmuje przejęcie sesji użytkownika, kradzież ciasteczek oraz inne złośliwe działania, co może prowadzić do naruszenia poufności danych i integralności systemu.

Rekomendacja

Należy niezwłocznie zaktualizować ARD do najnowszej wersji zawierającej poprawkę oraz wdrożyć walidację i kodowanie danych wejściowych dla pola accountName.

Inne podatności w ARD

CVE-2025-55887Średnie
W usłudze rezerwacji posiłków ARD odkryto podatność na atak typu Cross-Site Scripting (XSS). Podatność występuje w parametrze transactionID w adresie URL strony potwierdzenia transakcji. Z powodu niewłaściwej walidacji wejścia i kodowania wyjścia, atakujący może wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce ofiary.

Oryginalny opis (angielski, źródło NVD)

Cross-Site Scripting (XSS) vulnerability was discovered in the Ajax transaction manager endpoint of ARD. An attacker can intercept the Ajax response and inject malicious JavaScript into the accountName field. This input is not properly sanitized or encoded when rendered, allowing script execution in the context of users browsers. This flaw could lead to session hijacking, cookie theft, and other malicious actions.