CVE-2025-56320
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność Stored XSS w komponencie czatu CobbleStone Enterprise Contract Management Portal w wersji 22.4.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu w przeglądarce ofiary. Producent informuje, że problem dotyczy wyłącznie przestarzałej, niewspieranej wersji, która nie jest już używana.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkownika, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania w organizacji, jeśli nadal używana jest podatna wersja systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej wspieranej wersji CobbleStone Enterprise Contract Management Portal lub wycofanie z eksploatacji wersji 22.4.0.
Powiązane podatności
- CVE-2026-17609Krytyczne
Wtyczka Super Forms dla WordPressa do wersji 6.3.316 włącznie zawiera podatność na arbitralne usuwanie katalogów. Dzieje się tak z powodu niewystarczającej walidacji pól JSON kontrolowanych przez atakującego oraz nieskutecznej ochrony ABSPATH, którą można łatwo obejść. Nieuwierzytelniony atakujący może rekurencyjnie usuwać dowolne katalogi na serwerze, w tym katalog główny WordPressa, pod warunkiem że administrator włączył opcję usuwania plików po wysłaniu formularza.
- CVE-2026-107282Krytyczne
Podatność w bibliotece AsyncHttpClient (AHC) przed wersjami 3.0.13 i 2.16.1 umożliwia powtórne wysłanie żądania do innego hosta, ale pozostawia oryginalny cel i kontekst proxy. Może to spowodować wysłanie ścieżki, nagłówka Host, poświadczeń lub zwykłego tekstu do miejsca docelowego replikacji.
- CVE-2026-76268Krytyczne
Podatność w Splunk Enterprise przed wersjami 10.4.3 i 10.2.7 pozwala nieuwierzytelnionemu użytkownikowi z dostępem sieciowym do API REST Patroni na członku klastra wyszukiwania na wykonanie poleceń systemu operacyjnego. Interfejs nie wymaga uwierzytelnienia dla krytycznych operacji konfiguracyjnych.
- CVE-2026-95606Krytyczne
Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.
- CVE-2026-95605Krytyczne
Podatność na wstrzyknięcie SQL w WP Data Access umożliwia niewidome wstrzyknięcie SQL. Dotyczy wersji do 5.5.82 włącznie.
- CVE-2026-76501Krytyczne
Podatność w funkcji SRv6 OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcje NGOAM i SRv6 są włączone.
- CVE-2026-76500Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą zasobów w całym ich cyklu życia (CWE-664). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76499Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą neutralizacją (CWE-707). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76498Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą dostępu (CWE-284). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76486Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
Oryginalny opis (angielski, źródło NVD)
CobbleStone Enterprise Contract Management Portal v.22.4.0 is vulnerable to Stored Cross-Site Scripting (XSS) in its chat box component. This allows a remote attacker to execute arbitrary code. NOTE: the Supplier reports that this is "Present only in an obsolete, unsupported version no longer in circulation."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS