CVE-2025-9158

ŚrednieCVSS 5.3

Opublikowano: 24/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Oprogramowanie Request Tracker jest podatne na Stored XSS w funkcji parsowania zaproszeń kalendarzowych, która wyświetla dane zaproszenia bez sanityzacji HTML. Atakujący może wysłać spreparowany e-mail, aby wykonać kod JavaScript w kontekście zalogowanego użytkownika. Podatność dotyczy wersji od 5.0.4 do 5.0.8 oraz od 6.0.0 do 6.0.1.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Wymaga interakcji użytkownika z zainfekowanym zgłoszeniem.

Rekomendacja

Należy zaktualizować Request Tracker do wersji 5.0.9 lub 6.0.2 (lub nowszej). Zaleca się również wdrożenie sanityzacji danych wejściowych i szkolenie użytkowników.

Inne podatności w Request Tracker

CVE-2026-6841Średnie
Request Tracker jest podatny na odbity XSS przez parametr "Page" w żądaniach GET. Atakujący może stworzyć URL, który po otwarciu wykonuje dowolny JavaScript w przeglądarce ofiary. Dotyczy wersji 5.0.4-5.0.9 oraz 6.0.0-6.0.2.

Oryginalny opis (angielski, źródło NVD)

The Request Tracker software is vulnerable to a Stored XSS vulnerability in calendar invitation parsing feature, which displays invitation data without HTML sanitization. XSS vulnerability allows an attacker to send a specifically crafted e-mail enabling JavaScript code execution by displaying the ticket in the context of the logged-in user. This vulnerability affects versions from 5.0.4 through 5.0.8 and from 6.0.0 through 6.0.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS