CVE-2025-59773
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W AndSoft e-TMS w wersji 25.03 występuje podatność typu odbity cross-site scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy adres URL. Podatne parametry to 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w pliku '/clt/LOGINFRM_TP.ASP'.
Ocena ryzyka
Osoba atakująca może nakłonić użytkownika do kliknięcia spreparowanego linku, co pozwoli na wykonanie dowolnego kodu JavaScript w jego przeglądarce i potencjalne przejęcie sesji lub kradzież danych logowania.
Rekomendacja
Zaktualizować AndSoft e-TMS do wersji zawierającej poprawkę lub wdrożyć filtrowanie i kodowanie danych wejściowych w parametrach 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w pliku '/clt/LOGINFRM_TP.ASP'.
Inne podatności w AndSoft e-TMS
Zobacz wszystkie- CVE-2025-59741Krytyczne
W systemie AndSoft e-TMS w wersji v25.03.03 występuje podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może wykonać dowolne polecenia na serwerze, wysyłając specjalnie spreparowane żądanie POST z parametrem 'm' do zasobu '/CLT/LOGINERRORFRM.ASP'.
- CVE-2025-59774Średnie
AndSoft e-TMS w wersji v25.03 zawiera odzwierciedloną podatność Cross-Site Scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy URL z parametrami 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w ścieżce '/clt/LOGINFRM_VON.ASP'.
- CVE-2025-59772Średnie
W AndSoft e-TMS w wersji 25.03 występuje podatność typu odbity cross-site scripting (XSS). Atakujący może wykonać kod JavaScript w przeglądarce ofiary, wysyłając jej złośliwy adres URL. Podatne parametry to 'l, demo, demo2, TNTLOGIN, UO i SuppConn' w pliku '/clt/LOGINFRM_SIL.ASP'.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability reflected in AndSoft's e-TMS v25.03. This vulnerability allows an attacker to execute JavaScript code in the victim's browser by sending them a malicious URL. The relationship between parameter and assigned identifier is 'l, demo, demo2, TNTLOGIN, UO and SuppConn' parameters in '/clt/LOGINFRM_TP.ASP'.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS