CVE-2026-1008
WysokieStreszczenie
W polach tekstowych profilu użytkownika w Altium 365 występuje podatność na trwały cross-site scripting (XSS). Niewystarczająca sanityzacja danych wejściowych po stronie serwera pozwala uwierzytelnionym użytkownikom na wstrzykiwanie dowolnych payloadów HTML i JavaScript przy użyciu technik obejścia opartych na białych znakach. Wstrzyknięty payload jest przechowywany i wykonywany, gdy inni użytkownicy przeglądają dotknięty profil, co może prowadzić do kradzieży tokenów sesji, ataków phishingowych lub złośliwych przekierowań. Wykorzystanie wymaga uwierzytelnionego konta i interakcji użytkownika w celu wyświetlenia spreparowanego profilu.
Ocena ryzyka
Ryzyko obejmuje możliwość kradzieży sesji, ataków phishingowych i złośliwych przekierowań, co może naruszyć bezpieczeństwo użytkowników i organizacji.
Rekomendacja
Zaleca się wdrożenie odpowiedniej sanityzacji danych wejściowych po stronie serwera oraz edukację użytkowników w zakresie bezpiecznego przeglądania profili.
Inne podatności w Altium 365
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability exists in the user profile text fields of Altium 365. Insufficient server-side input sanitization allows authenticated users to inject arbitrary HTML and JavaScript payloads using whitespace-based attribute parsing bypass techniques. The injected payload is persisted and executed when other users view the affected profile page, potentially allowing session token theft, phishing attacks, or malicious redirects. Exploitation requires an authenticated account and user interaction to view the crafted profile.