CVE-2025-56536
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność na trwałe skrypty krzyżowe (Stored XSS) w opennebula v6.10.0.1 pozwala atakującym na wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru informacji o użytkowniku.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod do informacji o użytkowniku, który zostanie wykonany w przeglądarce użytkownika przeglądającego te informacje, co może prowadzić do przejęcia sesji lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj opennebula do wersji nowszej niż 6.10.0.1 (np. 7.0 lub nowszej). Dodatkowo ogranicz możliwość edycji informacji o użytkownikach tylko do zaufanych administratorów.
Inne podatności w opennebula
Zobacz wszystkie- CVE-2026-84165Wysokie
Podatność dotycząca nieprawidłowej kontroli dostępu w OpenNebula (wszystkie wersje przed 7.4) pozwala uwierzytelnionemu użytkownikowi z podstawowymi uprawnieniami na wykonywanie poleceń na maszynach wirtualnych należących do innych użytkowników za pomocą funkcji one.vm.exec, bez odpowiedniej weryfikacji uprawnień. Do wykorzystania wystarczy znać identyfikator maszyny wirtualnej i mieć włączony qemu-agent na tej maszynie. Eksploitacja może pozwolić na wykonanie poleceń i naruszyć poufność, integralność i dostępność dotkniętych maszyn wirtualnych.
- CVE-2025-56537Średnie
Podatność na trwałe skrypty krzyżowe (Stored XSS) w opennebula v6.10.0.1, naprawiona w wersji v7.0, pozwala atakującym na wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru szablonu sieci wirtualnej.
- CVE-2025-56535Średnie
Podatność cross-site scripting (XSS) w opennebula w wersji 6.10.0.1 pozwala atakującemu na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru atrybutu zone.
- CVE-2025-56534Średnie
Podatność cross-site scripting (XSS) w niestandardowym sterowniku uwierzytelniania opennebula w wersji 6.10.0.1 pozwala atakującemu na wykonanie dowolnych skryptów webowych lub HTML poprzez spreparowany ładunek.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in opennebula v6.10.0.1 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the user information parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS