CVE-2026-115535
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W aplikacji gedelumbung HospitalManagement (do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8) funkcja sistem.php::simpan w pliku application/modules/admin/controllers/sistem.php (komponent Settings Handler) jest podatna na cross-site scripting poprzez manipulację argumentem Title. Atak jest możliwy zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany. Projekt stosuje strategię rolling release, więc nie można określić szczegółów wersji.
Ocena ryzyka
Atakujący może wykonać skrypt w przeglądarce ofiary, przechwycić sesję lub wykonać działania w imieniu użytkownika, co może prowadzić do przejęcia konta lub dalszych ataków.
Rekomendacja
Wdróż poprawki lub obejścia (np. walidację i sanityzację danych wejściowych) oraz rozważ ograniczenie dostępu do interfejsu administracyjnego.
Inne podatności w gedelumbung HospitalManagement
Zobacz wszystkie- CVE-2026-102845Średnie
W produkcie gedelumbung HospitalManagement do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 wykryto podatność w funkcji error_reporting pliku index.php komponentu HTTP Response. Manipulacja prowadzi do ujawnienia informacji. Atak może być wykonany zdalnie, a exploit jest publiczny.
- CVE-2026-115534Średnie
W aplikacji gedelumbung HospitalManagement wykryto podatność typu cross-site scripting (XSS) w funkcji kirim w pliku application/modules/web/controllers/contact.php, w komponencie formularza kontaktowego. Manipulacja argumentami nama, email, alamat, telepon lub pesan może prowadzić do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-102847Średnie
W produkcie gedelumbung HospitalManagement do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 wykryto podatność XSS w funkcji kirim pliku application/modules/web/controllers/buku_tamu.php komponentu Guest Book. Manipulacja argumentami nama/email/pesan prowadzi do cross-site scripting. Atak może być wykonany zdalnie, a exploit jest opublikowany.
- CVE-2026-102846Średnie
W produkcie gedelumbung HospitalManagement do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 wykryto podatność w funkcji sistem.php::simpan pliku application/modules/admin/controllers/sistem.php komponentu Configuration Handler. Manipulacja argumentami tipe/title/content_setting prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie, a exploit jest publiczny.
- CVE-2026-102843Średnie
W produkcie gedelumbung HospitalManagement do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 wykryto podatność w funkcji hapus pliku application/modules/admin/controllers/data_galeri.php komponentu Endpoint. Manipulacja argumentem gbr prowadzi do path traversal. Atak może być wykonany zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in gedelumbung HospitalManagement up to c2d45543789a3887067d3915f69d44cfc2cf76a8. The affected element is the function sistem.php::simpan of the file application/modules/admin/controllers/sistem.php of the component Settings Handler. The manipulation of the argument Title leads to cross site scripting. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS