CVE-2025-6623

ŚrednieCVSS 4.3

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Konsola carbon przyjmuje dane wejściowe XML od użytkownika bez wystarczającego kodowania potencjalnie wykonywalnej zawartości, co pozwala na wstrzyknięcie złośliwych skryptów. Udana eksploatacja umożliwia zdalnemu atakującemu wykonanie dowolnego JavaScriptu w kontekście przeglądarki ofiary.

Ocena ryzyka

Może to prowadzić do przekierowania użytkownika na złośliwą stronę lub modyfikacji interfejsu strony; przejęcie sesji nie jest możliwe, ponieważ ciasteczka sesyjne są chronione przez httpOnly.

Rekomendacja

Zaktualizuj konsolę carbon do wersji zawierającej poprawkę sanityzacji danych wejściowych XML.

Inne podatności w carbon console

CVE-2025-12737Wysokie
Operacje administracyjne w Carbon Console nie walidują odpowiednio danych wprowadzanych przez użytkownika. Pozwala to osobie z uprawnieniami administracyjnymi na wstrzyknięcie i zdalne wykonanie dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

The carbon console accepts user-supplied XML input without sufficiently encoding potentially executable content, allowing for the injection of malicious scripts. Successful exploitation allows a remote attacker to execute arbitrary JavaScript in the context of a victim's browser, leading to actions such as redirecting the user to a malicious website or modifying the web page's user interface. Session hijacking is not possible as sensitive session cookies are protected by the httpOnly flag.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS