CVE-2025-65540

ŚrednieCVSS 6.1

Opublikowano: 29/11/2025(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W xmall v1.1 występuje wiele podatności Cross-Site Scripting (XSS) z powodu niewłaściwego obsługi danych dostarczanych przez użytkownika. Pola takie jak username i description są renderowane bezpośrednio w HTML bez sanityzacji, co pozwala na wstrzyknięcie i wykonanie złośliwych skryptów.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach innych użytkowników, umożliwiając kradzież sesji lub manipulację treścią.

Rekomendacja

Wdrożyć sanityzację i kodowanie danych wejściowych we wszystkich polach użytkownika oraz zastosować nagłówki Content-Security-Policy. Zaktualizować xmall do wersji zawierającej poprawkę.

Inne podatności w xmall

CVE-2023-36331Wysokie
W aplikacji xmall v1.1 w interfejsie API /member/orderList występuje nieprawidłowa kontrola dostępu. Atakujący może manipulować parametrem zapytania userId, aby uzyskać dostęp do szczegółów zamówień innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

Multiple Cross-Site Scripting (XSS) vulnerabilities exist in xmall v1.1 due to improper handling of user-supplied data. User input fields such as username and description are directly rendered into HTML without proper sanitization or encoding, allowing attackers to inject and execute malicious scripts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS