CVE-2026-11491
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W systemie CodeAstro Human Resource Management System 1.0 znaleziono podatność na atak XSS w funkcji wyświetlania ogłoszeń. Manipulacja argumentem 'Notice Title' przez przesłanie formularza POST z kodem JavaScript powoduje wykonanie skryptu w przeglądarce ofiary.
Ocena ryzyka
Atakujący może zdalnie wykonać złośliwy skrypt w sesji innego użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować system do wersji z poprawką lub zastosować filtrowanie wejścia dla parametru 'Notice Title' oraz kodowanie wyjścia.
Inne podatności w CodeAstro Human Resource Management System
Zobacz wszystkie- CVE-2026-13537Średnie
W systemie CodeAstro Human Resource Management System 1.0 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF). Nieznana funkcja systemu umożliwia atakującemu zdalne wykonanie nieautoryzowanych działań w imieniu uwierzytelnionego użytkownika. Exploit został opublikowany i może być wykorzystany w praktyce.
- CVE-2026-13535Średnie
W systemie CodeAstro Human Resource Management System 1.0 wykryto podatność na iniekcję SQL w funkcji GetFileInfo pliku Employee_model.php. Manipulacja argumentem ID w endpointcie widoku umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-13525Średnie
W systemie CodeAstro Human Resource Management System 1.0 wykryto podatność SQL Injection w funkcji emselectByCode pliku Employee_model.php. Atak polega na manipulacji argumentem emid w punkcie końcowym Update_Earn_Leave. Luka może być wykorzystana zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in CodeAstro Human Resource Management System 1.0. Impacted is an unknown function of the file /notice/All_notice of the component Notice Board Management. Such manipulation of the argument Notice Title with the input <svg onload="alert('Stored XSS Triggered by Ashik Mohamed')"> as part of POST leads to cross site scripting. It is possible to launch the attack remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS