CVE-2025-61550
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W edu Business Solutions Print Shop Pro WebDesk w wersji 18.34 (poprawionej w 19.69) występuje podatność cross-site scripting (XSS) w parametrach ctl00_Content01_fieldValue na endpointcie /psp/appNet/TemplateOrder/TemplatePreview.aspx. Dane wejściowe użytkownika są przechowywane, a następnie renderowane w stronach HTML bez odpowiedniego kodowania lub sanityzacji, co pozwala atakującemu na trwałe wstrzyknięcie dowolnego JavaScriptu wykonującego się w kontekście sesji innych użytkowników.
Ocena ryzyka
Podatność może pozwolić na wykonanie złośliwego kodu JavaScript w przeglądarce ofiary, co grozi kradzieżą sesji lub danych. Organizacje korzystające z Print Shop Pro WebDesk są narażone na ataki XSS.
Rekomendacja
Zaktualizuj Print Shop Pro WebDesk do wersji 19.69 lub nowszej. Wdroż odpowiednie kodowanie i walidację danych wejściowych na endpointcie.
Inne podatności w Print Shop Pro WebDesk
Zobacz wszystkie- CVE-2025-61549Średnie
W edu Business Solutions Print Shop Pro WebDesk w wersji 18.34 (poprawionej w 19.76) występuje podatność cross-site scripting (XSS) w parametrze LoginID na endpointcie /PSP/app/web/reg/reg_display.asp. Nieoczyszczone dane wejściowe użytkownika są odzwierciedlane w odpowiedziach HTTP bez odpowiedniego kodowania lub escapowania HTML, co pozwala atakującemu na wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki ofiary.
- CVE-2025-61547Średnie
Wszystkie funkcje w edu Business Solutions Print Shop Pro WebDesk w wersji 18.34 (poprawionej w 19.76) są podatne na Cross-Site Request Forgery (CSRF). Aplikacja nie implementuje tokenów CSRF ani innych zabezpieczeń, co pozwala zdalnemu atakującemu nakłonić uwierzytelnionych użytkowników do nieświadomego wykonania niezamierzonych akcji w ich sesji.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) is present on the ctl00_Content01_fieldValue parameters on the /psp/appNet/TemplateOrder/TemplatePreview.aspx endpoint in edu Business Solutions Print Shop Pro WebDesk version 18.34 (fixed in 19.69). User-supplied input is stored and later rendered in HTML pages without proper output encoding or sanitization. This allows attackers to persistently inject arbitrary JavaScript that executes in the context of other users' sessions
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS