CVE-2025-5769
ŚrednieCVSS 6.1Streszczenie
Endpoint uwierzytelniania nie koduje prawidłowo danych wejściowych dostarczonych przez użytkownika przed wyświetleniem ich na stronie internetowej. Brak kodowania wyjściowego pozwala atakującemu na wstrzyknięcie złośliwych skryptów JavaScript do procesu uwierzytelniania, które są następnie wykonywane w przeglądarce ofiary.
Ocena ryzyka
Atakujący może przekierować przeglądarkę użytkownika na złośliwą witrynę, zmodyfikować wyświetlaną treść lub wykraść informacje z przeglądarki. Dzięki fladze httpOnly na wrażliwych ciasteczkach sesyjnych przejęcie sesji nie jest możliwe.
Rekomendacja
Zaktualizuj oprogramowanie do wersji zawierającej poprawkę lub wdróż odpowiednie kodowanie wyjściowe dla danych użytkownika w endpoincie uwierzytelniania.
Inne podatności w Authentication endpoint
Zobacz wszystkie- CVE-2026-11854Średnie
Endpoint uwierzytelniania generuje komunikat błędu zawierający dane odzwierciedlone bezpośrednio z żądania, bez wystarczającej sanityzacji lub kodowania. Umożliwia to atakującemu wstrzyknięcie złośliwych skryptów wykonywanych w kontekście przeglądarki ofiary (reflected XSS).
- CVE-2024-5139Średnie
Punkt końcowy uwierzytelniania przyjmuje dane wejściowe od użytkownika bez wystarczającego kodowania, co pozwala na wstrzyknięcie złośliwych ładunków JavaScript. Podatność można wywołać, przesyłając spreparowane dane do punktu końcowego uwierzytelniania.
- CVE-2025-10503Średnie
Punkt końcowy uwierzytelniania przyjmuje dane od użytkownika bez wymaganej walidacji, co prowadzi do braku odpowiedniego kodowania wyjścia. Umożliwia to wstrzyknięcie złośliwego JavaScriptu i atak Reflected XSS. Atakujący może przekierować przeglądarkę na złośliwą stronę, modyfikować interfejs lub wykradać informacje, ale przejęcie sesji nie jest możliwe ze względu na flagę httpOnly w ciasteczkach.
- CVE-2025-6024Średnie
Endpoint uwierzytelniania nie koduje danych wprowadzonych przez użytkownika przed renderowaniem na stronie, co pozwala na wstrzyknięcie skryptów. Atakujący może wstrzyknąć złośliwe skrypty do endpointu uwierzytelniania, co może przekierować przeglądarkę użytkownika na złośliwą stronę, manipulować interfejsem lub wykraść informacje z przeglądarki. Przejęcie sesji nie jest możliwe dzięki fladze httpOnly na ciasteczkach sesyjnych.
Oryginalny opis (angielski, źródło NVD)
The authentication endpoint does not properly encode user-supplied input before rendering it within the web page. This lack of output encoding allows an attacker to inject malicious JavaScript payloads into the authentication flow, which are then executed by the victim's browser. By exploiting this vulnerability, an attacker can redirect the user's browser to a malicious website, modify the content of the web page displayed to the user, or exfiltrate information from the browser. However, due to the implementation of the httpOnly flag on session-related sensitive cookies, session hijacking and similar attacks are not possible.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS