CVE-2026-111284
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Aureus ERP do wersji 1.6.0 zawiera podatność typu stored XSS w pliku HolidayAction.php. Uwierzytelnieni użytkownicy mogą wstrzykiwać skrypty JavaScript poprzez nieescapowane nazwy świąt renderowane jako HtmlString, które wykonują się gdy menedżerowie HR lub administratorzy otwierają modal świąt.
Ocena ryzyka
Atakujący z uprawnieniami do tworzenia świąt może przejąć sesje menedżerów HR i administratorów, co prowadzi do kradzieży danych uwierzytelniających i eskalacji uprawnień w systemie ERP.
Rekomendacja
Zaktualizować Aureus ERP do wersji nowszej niż 1.6.0, a do czasu aktualizacji ograniczyć uprawnienia do tworzenia świąt publicznych i dni obowiązkowych oraz wdrożyć sanityzację danych wyjściowych.
Inne podatności w Aureus ERP
Zobacz wszystkie- CVE-2026-110878Średnie
System Aureus ERP do wersji 1.6.0 zawiera podatność trwałego skryptowania krzyżowego (stored XSS), umożliwiającą uwierzytelnionym użytkownikom wstrzykiwanie skryptów poprzez nieescapowane nazwy typu operacji i lokalizacji w plikach RuleForm.php i RuleInfolist.php. Atakujący może zapisać ładunki HTML/JavaScript w nazwach, które wykonują się, gdy menedżerowie magazynu lub administratorzy przeglądają lub edytują reguły inwentarza, wykonując działania w kontekście ich sesji.
- CVE-2026-110218Niskie
Aureus ERP do wersji 1.6.0 zawiera podatność na obejście autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt nieopublikowanych szkiców wpisów na blogu przez stronę widoku posta dla klientów. Atakujący, którzy znają lub zgadną slug posta, mogą pobrać pełny tytuł, treść, obraz, tagi, autora i datę publikacji, ponieważ PostResource pomija autoryzację, a ViewPost ignoruje is_published.
- CVE-2026-97062Średnie
Aureus ERP do wersji 1.6.0 (poprawka w commit 53ad76d) przechowuje przesłane pliki SVG na publicznym dysku i serwuje je z pochodzenia aplikacji, co pozwala uwierzytelnionym użytkownikom na przesyłanie złośliwych plików SVG zawierających JavaScript. Atakujący mogą tworzyć pliki SVG z elementami script, które wykonują się w pochodzeniu aplikacji po otwarciu URL-a pliku, umożliwiając kradzież ciasteczek sesji i eksfiltrację tokenów CSRF.
- CVE-2026-95655Wysokie
Aureus ERP przed wersją 1.5.0 nie ogranicza wyszukiwania wiadomości do bieżącego rekordu w ChatterPanel, umożliwiając uwierzytelnionym użytkownikom dostęp do dowolnych wiadomości. Atakujący mogą podawać kolejne identyfikatory wiadomości, aby czytać, edytować, usuwać lub przypinać wiadomości z innych działów lub firm oraz wyliczać wszystkie notatki w systemie.
- CVE-2026-94387Średnie
Aureus ERP w wersjach przed 1.6.0 zawiera podatność typu stored cross-site scripting w logu zmian pola Chatter, gdzie wpisy old_value i new_value są renderowane bez prawidłowego escapowania. Każdy użytkownik uprawniony do edycji śledzonych pól tekstowych może wstrzyknąć złośliwy markup, który wykona się, gdy inni użytkownicy, w tym administratorzy, wyświetlą panel Chatter rekordu.
- CVE-2026-93454Średnie
Aureus ERP do wersji 1.6.0 przechowuje pole notatki warunków płatności bez sanityzacji i renderuje je jako surowy HTML we wtyczce Księgowość. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia warunków płatności mogą przesłać dowolny kod JavaScript do punktu końcowego payment-terms, który jest zapisywany w bazie danych i wykonywany w przeglądarkach wszystkich użytkowników przeglądających ten rekord.
Oryginalny opis (angielski, źródło NVD)
Aureus ERP through 1.6.0 contains a stored cross-site scripting vulnerability in HolidayAction.php that allows authenticated users to inject scripts via unescaped holiday names rendered as HtmlString. Attackers permitted to create Public Holidays or Mandatory Days can store JavaScript payloads that execute when HR managers or administrators open the Holiday modal, hijacking their sessions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS