CVE-2025-61998
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu wstrzyknięcie JavaScript lub innej zawartości jako adresu URL w Menedżerze linków pomocy technicznej. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy klikną złośliwy link. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
Ocena ryzyka
Organizacja może doświadczyć kradzieży sesji, poświadczeń lub wrażliwych danych, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację OPEXUS FOIAXpress do wersji 11.13.3.0 lub nowszej, która zawiera poprawki zabezpieczeń, oraz ograniczenie uprawnień administracyjnych do zaufanych osób.
Inne podatności w OPEXUS FOIAXpress
Zobacz wszystkie- CVE-2025-58462Krytyczne
OPEXUS FOIAXpress Public Access Link (PAL) przed wersją 11.13.1.0 pozwala na wstrzyknięcie SQL przez SearchPopularDocs.aspx. Zdalny, nieuwierzytelniony atakujący może odczytać, zapisać lub usunąć dowolną zawartość w bazie danych.
- CVE-2025-61999Średnie
OPEXUS FOIAXpress przed wersją 11.13.3.0 umożliwia użytkownikowi administracyjnemu przesłanie JavaScript lub innej zawartości osadzonej w obrazie SVG używanym jako logo. Wstrzyknięta zawartość jest wykonywana w kontekście innych użytkowników, gdy przeglądają dotknięte strony. Skuteczna eksploatacja pozwala użytkownikowi administracyjnemu na wykonywanie działań w imieniu ofiary, w tym kradzież ciasteczek sesji, poświadczeń użytkownika lub wrażliwych danych.
- CVE-2025-61997Średnie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w polu przesyłania obrazu banera Annual Report Enterprise. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
- CVE-2025-61996Średnie
OPEXUS FOIAXpress w wersjach przed 11.13.3.0 pozwala użytkownikowi administracyjnemu na wstrzyknięcie JavaScript lub innej treści w szablonie Annual Report Template. Wstrzyknięta treść jest wykonywana w kontekście innych użytkowników podczas generowania raportu rocznego. Udana eksploatacja pozwala na działania w imieniu ofiary, w tym kradzież ciasteczek sesyjnych, danych uwierzytelniających lub danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
OPEXUS FOIAXpress before 11.13.3.0 allows an administrative user to inject JavaScript or other content as a URL within the Technical Support Hyperlink Manager. Injected content is executed in the context of other users when they click the malicious link. Successful exploitation allows the administrative user to perform actions on behalf of the target, including stealing session cookies, user credentials, or sensitive data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS