CVE-2026-102264

NiskieCVSS 3.5

Opublikowano: 29/09/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

W projekcie mwasikz robo-cafe-rms do wersji 228c44a02823f04e85db32b7137809a2856148fc wykryto podatność. Dotyczy ona nieznanej funkcji w pliku frontend/update-account.php komponentu Edit Profile Feature. Manipulacja argumentami Name/Address/City prowadzi do cross-site scripting. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być wykorzystany. Projekt stosuje podejście ciągłego wydawania, więc szczegóły wersji nie są podane. Dostawca został wcześnie poinformowany, ale nie odpowiedział.

Ocena ryzyka

Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków na użytkowników systemu.

Rekomendacja

Zaleca się zaktualizowanie robo-cafe-rms do najnowszej wersji, jeśli dostępna, oraz wdrożenie walidacji i sanityzacji danych wejściowych w formularzu edycji profilu, aby zapobiec XSS.

Inne podatności w robo-cafe-rms

CVE-2026-102263Średnie
W mwasikz robo-cafe-rms do wersji 228c44a02823f04e85db32b7137809a2856148fc wykryto podatność w nieznanej funkcji pliku manage-food.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został ujawniony publicznie i może być wykorzystany; produkt działa w modelu rolling release, więc nie ma szczegółów wersji; producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in mwasikz robo-cafe-rms up to 228c44a02823f04e85db32b7137809a2856148fc. The impacted element is an unknown function of the file frontend/update-account.php of the component Edit Profile Feature. Performing a manipulation of the argument Name/Address/City results in cross site scripting. Remote exploitation of the attack is possible. The exploit has been made public and could be used. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS