CVE-2025-66845

ŚrednieCVSS 6.1

Opublikowano: 23/12/2025(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

W aplikacji TechStore w wersji 1.0 wykryto podatność typu reflected Cross-Site Scripting (XSS). Endpoint user_name odzwierciedla parametr zapytania id bezpośrednio w odpowiedzi HTML bez kodowania wyjściowego ani sanityzacji, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, przechwycić sesję lub dane logowania, a także wykonać działania w imieniu ofiary. Może to prowadzić do kradzieży danych lub przejęcia konta.

Rekomendacja

Zaktualizuj TechStore do wersji zawierającej poprawkę lub wdróż kodowanie wyjściowe i walidację parametru id w endpoincie user_name. Dodatkowo wdroż nagłówki Content-Security-Policy ograniczające wykonywanie skryptów.

Inne podatności w TechStore

CVE-2025-63607Średnie
TechStore 1.0 jest podatny na Cross Site Scripting (XSS). W contact_display aplikacja odzwierciedla parametr id bezpośrednio w renderowanej stronie, co umożliwia wykonanie dostarczonego przez atakującego JavaScriptu w przeglądarce użytkownika.

Oryginalny opis (angielski, źródło NVD)

A reflected Cross-Site Scripting (XSS) vulnerability has been identified in TechStore version 1.0. The user_name endpoint reflects the id query parameter directly into the HTML response without output encoding or sanitization, allowing execution of arbitrary JavaScript code in a victim’s browser.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS