CVE-2026-101141
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w nieznanej funkcji pliku /callrec/audio.jsp w komponencie Play Audio Page. Manipulacja argumentami viewRoleId/cfType prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika systemu nagrywania rozmów, co grozi przejęciem sesji lub kradzieżą danych. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Skontaktuj się z producentem w celu uzyskania poprawki i rozważ ograniczenie dostępu do interfejsu /callrec/audio.jsp. Do czasu wydania łatki stosuj walidację i filtrowanie danych wejściowych.
Inne podatności w Eleveo Call Recording Software
Zobacz wszystkie- CVE-2026-101145Średnie
W Eleveo Call Recording Software 9.7.0 zidentyfikowano podatność. Dotyczy ona nieznanego kodu w pliku /callrec/userAddAction.do komponentu User Management. Manipulacja argumentem Username prowadzi do wstrzyknięcia LDAP. Atak może być wykonany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-101144Średnie
W Eleveo Call Recording Software 9.7.0 stwierdzono podatność. Dotyczy ona nieznanej części pliku /callrec/searchAction.do komponentu Query Builder. Manipulacja powoduje nieprawidłowe kontrole dostępu. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-85405Niskie
Podatność w Eleveo Call Recording Software 9.7.0 dotyczy nieznanej części pliku /callrec/roleAddAction.do. Manipulacja argumentem name/username prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15474Średnie
W Eleveo Call Recording Software 9.7.0 wykryto lukę w mechanizmie autoryzacji. Nieznana funkcja w pliku /callrec/audio.jsp nieprawidłowo weryfikuje uprawnienia dla parametru callId, co umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-15472Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/composeEmailAction.do. Nieznany kod umożliwia zdalną manipulację prowadzącą do nieprawidłowej autoryzacji. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-15471Średnie
W Eleveo Call Recording Software 9.7.0 znaleziono podatność w pliku /callrec/pci_dss_status.jsp, która umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-15470Średnie
W oprogramowaniu Eleveo Call Recording Software 9.7.0 odkryto podatność w pliku /callrec/group.jsp. Nieznana funkcjonalność tego pliku umożliwia nieprawidłową autoryzację, co może być wykorzystane zdalnie. Exploit został ujawniony publicznie i może być użyty.
- CVE-2026-15377Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/sendlogfile. Nieznana funkcjonalność tego pliku powoduje nieprawidłową autoryzację, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-15376Średnie
W Eleveo Call Recording Software 9.7.0 znaleziono podatność w pliku /callrec/statisticReportAction.do. Nieznana funkcja umożliwia nieprawidłową autoryzację, co pozwala na zdalne wykorzystanie luki. Exploit został opublikowany, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-15375Średnie
W oprogramowaniu Eleveo Call Recording 9.7.0 wykryto podatność w pliku /callrec/users_ldap.jsp komponentu interfejsu LDAP. Nieznana funkcja umożliwia nieprawidłową autoryzację, co może być wykorzystane zdalnie. Exploit został ujawniony publicznie.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Eleveo Call Recording Software 9.7.0. Affected is an unknown function of the file /callrec/audio.jsp of the component Play Audio Page. Executing a manipulation of the argument viewRoleId/cfType can lead to cross site scripting. The attack can be launched remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS