CVE-2025-61996
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w szablonie Annual Report Template. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
Ocena ryzyka
Uwierzytelniony użytkownik administracyjny może przejąć sesje innych użytkowników i wykonywać działania w ich imieniu, co prowadzi do wycieku danych wrażliwych i naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaktualizuj OPEXUS FOIAXpress do wersji 11.13.3.0 lub nowszej. Ogranicz uprawnienia administracyjne do niezbędnego minimum i monitoruj nietypowe zmiany w szablonach raportów.
Inne podatności w OPEXUS FOIAXpress
Zobacz wszystkie- CVE-2025-58462Krytyczne
OPEXUS FOIAXpress Public Access Link (PAL) przed wersją 11.13.1.0 pozwala na wstrzyknięcie SQL przez SearchPopularDocs.aspx. Zdalny, nieuwierzytelniony atakujący może odczytać, zapisać lub usunąć dowolną zawartość w bazie danych.
- CVE-2025-61999Średnie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu przesłanie JavaScript lub innej zawartości osadzonej w obrazie SVG używanym jako logo. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy przeglądają dotknięte strony. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
- CVE-2025-61998Średnie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu wstrzyknięcie JavaScript lub innej zawartości jako adresu URL w Menedżerze linków pomocy technicznej. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy klikną złośliwy link. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
- CVE-2025-61997Średnie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w polu przesyłania obrazu banera Annual Report Enterprise. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
OPEXUS FOIAXpress before 11.13.3.0 allows an administrative user to inject JavaScript or other content within the Annual Report Template. Injected content is executed in the context of other users when they generate an Annual Report. Successful exploitation allows the administrative user to perform actions on behalf of the target, including stealing session cookies, user credentials, or sensitive data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS