CVE-2026-113695
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W funkcji załączników obrazów wbudowanych w SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje reflected cross-site scripting. Uwierzytelnieni użytkownicy mogą wstrzyknąć treść skryptu do odpowiedzi HTML wyświetlanych innym użytkownikom.
Ocena ryzyka
Atakujący może wykonać skrypt w przeglądarce innych użytkowników przeglądających załączniki, co grozi kradzieżą sesji lub wykonaniem działań w ich imieniu. Ryzyko dotyczy wskazanych wersji BMC IT Service Management Suite.
Rekomendacja
Zaktualizuj BMC IT Service Management Suite do wersji z poprawką.
Inne podatności w BMC IT Service Management Suite
Zobacz wszystkie- CVE-2026-113696Średnie
W funkcji zatwierdzania zmian SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje nieprawidłowa autoryzacja. Uwierzytelnieni użytkownicy mogą dokonywać nieuprawnionych zmian stanu zatwierdzenia i omijać zamierzone ograniczenia.
- CVE-2026-113694Średnie
W funkcji załączników użytkownika SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje nieprawidłowa autoryzacja. Uwierzytelnieni użytkownicy mogą uzyskiwać dostęp do zasobów załączników innych użytkowników lub je modyfikować.
- CVE-2026-113693Średnie
W ustawieniach konta systemowego SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje ujawnienie poufnych informacji. Uwierzytelnieni użytkownicy mogą pobrać nazwę użytkownika systemowego oraz zaszyfrowaną wartość hasła.
- CVE-2026-113692Średnie
W funkcji zarządzania plikami SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje path traversal. Uwierzytelnieni administratorzy mogą odczytywać pliki spoza zamierzonego katalogu.
- CVE-2026-113691Średnie
W funkcji artykułów bazy wiedzy SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje stored cross-site scripting. Uwierzytelnieni użytkownicy mogą zapisać skrypty wykonywane w przeglądarkach innych użytkowników.
- CVE-2026-113690Średnie
W funkcji załączników SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje podatność Stored XSS, która pozwala uwierzytelnionym użytkownikom na wykonanie przesłanego skryptu w przeglądarkach innych użytkowników.
- CVE-2026-113689Średnie
W funkcji notatek roboczych SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje podatność Stored XSS, która pozwala uwierzytelnionym użytkownikom na wykonanie zapisanych skryptów w przeglądarkach innych użytkowników.
- CVE-2026-113688Średnie
W funkcji załączników opartych na adresach URL SmartIT w BMC IT Service Management Suite (wersje 25.3.01, 25.4.01 i 26.1.01) występuje podatność Server-Side Request Forgery (SSRF), która pozwala uwierzytelnionym użytkownikom na wykonywanie żądań po stronie serwera do usług wewnętrznych i obserwowanie informacji zwrotnych.
Oryginalny opis (angielski, źródło NVD)
Reflected cross-site scripting in the SmartIT inline-image attachment feature of BMC IT Service Management Suite versions 25.3.01, 25.4.01, and 26.1.01 allows authenticated users to inject script content into HTML responses viewed by another user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS