CVE-2026-104475

ŚrednieCVSS 5.4

Opublikowano: 03/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

IDURAR ERP CRM do wersji 4.1.1 zawiera podatność przechowywanego XSS, która pozwala uwierzytelnionym użytkownikom wstrzykiwać skrypty poprzez przesyłanie nieoczyszczonych plików SVG. Atakujący może przesłać SVG zawierające JavaScript poprzez endpointy aktualizacji profilu lub ustawień, które wykonują się w przeglądarkach ofiar, gdy są serwowane z trasy /public.

Ocena ryzyka

Uwierzytelniony użytkownik może wykonać dowolny JavaScript w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub działań w imieniu ofiary. Może to skutkować przejęciem kont uprzywilejowanych.

Rekomendacja

Zaktualizuj IDURAR ERP CRM do wersji nowszej niż 4.1.1. Ogranicz możliwość przesyłania plików SVG lub przeprowadzaj ich sanityzację.

Inne podatności w IDURAR ERP CRM

CVE-2026-81031Wysokie
IDURAR ERP CRM zmienia hasło konta wskazanego w żądaniu, a nie konta wykonującego żądanie. Procedura aktualizacji w updatePassword.js pobiera uwierzytelnionego użytkownika z tokena, ale aktualizację wykonuje na podstawie identyfikatora z URL, bez porównania. Trasa jest chroniona tylko sprawdzeniem tokena administratora, więc każda sesja administratora wystarczy. Jedyna ochrona odrzuca tylko jeden zakodowany adres demo. Atakujący może ustawić dowolne hasło na innym koncie administratora i zalogować się jako on.

Oryginalny opis (angielski, źródło NVD)

IDURAR ERP CRM through 4.1.1 contains a stored cross-site scripting vulnerability that allows authenticated users to inject scripts by uploading unsanitized SVG files. Attackers can upload JavaScript-laden SVGs via the profile update or settings upload endpoints, which execute in victims' browsers when served from the /public route.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS