CVE-2025-5591
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Kentico Xperience 13 jest podatny na przechowywany atak XSS przez komponent formularza, umożliwiający atakującemu przejęcie sesji użytkownika i wykonywanie działań w jego kontekście bezpieczeństwa.
Ocena ryzyka
Atakujący może przejąć sesję ofiary i wykonywać działania w jej imieniu, co może prowadzić do nieautoryzowanych zmian, kradzieży danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Kentico Xperience do wersji zawierającej poprawkę lub zastosuj odpowiednie filtry walidacji danych wejściowych w komponentach formularzy.
Inne podatności w Kentico Xperience
Zobacz wszystkie- CVE-2025-2747KrytyczneAktywnie exploitowane
Podatność obejścia uwierzytelniania w Kentico Xperience umożliwia obejście uwierzytelniania przez obsługę hasła w komponencie Staging Sync Server dla typu serwera None. Obejście uwierzytelniania pozwala atakującemu kontrolować obiekty administracyjne. Problem dotyczy Xperience do wersji 13.0.178.
- CVE-2025-2746KrytyczneAktywnie exploitowane
Podatność obejścia uwierzytelniania w Kentico Xperience umożliwia obejście uwierzytelniania przez obsługę hasła w Staging Sync Server dla pustych nazw użytkownika SHA1 w uwierzytelnianiu digest. Obejście uwierzytelniania pozwala atakującemu kontrolować obiekty administracyjne. Problem dotyczy Xperience do wersji 13.0.172.
- CVE-2026-105046Średnie
Kentico Xperience 13 przed wersją 13.0.216 nie ma kontroli autoryzacji na poziomie obiektów dla punktów końcowych API administracyjnych.
- CVE-2020-36890Wysokie
Podatność polegająca na obejściu kontroli dostępu w Kentico Xperience pozwala administratorom na modyfikowanie uprawnień globalnych administratorów poprzez nieautoryzowane żądania. Atakujący mogą potencjalnie przejąć konta globalnych administratorów i unieważnić wrażliwe makra bezpieczeństwa poprzez manipulację poziomami uprawnień użytkowników.
Oryginalny opis (angielski, źródło NVD)
Kentico Xperience 13 is vulnerable to a stored cross-site scripting attack via a form component, allowing an attacker to hijack a victim user’s session and perform actions in their security context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS