CVE-2026-11854
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Endpoint uwierzytelniania generuje komunikat błędu zawierający dane odzwierciedlone bezpośrednio z żądania, bez wystarczającej sanityzacji lub kodowania. Umożliwia to atakującemu wstrzyknięcie złośliwych skryptów wykonywanych w kontekście przeglądarki ofiary (reflected XSS).
Ocena ryzyka
Atakujący może wykonywać działania w przeglądarce użytkownika, takie jak przekierowanie na złośliwą stronę, modyfikacja interfejsu lub pozyskiwanie informacji; przejęcie sesji jest utrudnione przez flagę httpOnly na ciasteczkach sesyjnych.
Rekomendacja
Wdróż poprawkę producenta dla endpointu uwierzytelniania oraz zapewnij kodowanie/sanityzację danych odzwierciedlanych w komunikatach błędów. Rozważ wdrożenie nagłówka Content-Security-Policy.
Inne podatności w Authentication endpoint
Zobacz wszystkie- CVE-2025-5769Średnie
Endpoint uwierzytelniania nie koduje prawidłowo danych wejściowych dostarczonych przez użytkownika przed wyświetleniem ich na stronie internetowej. Brak kodowania wyjściowego pozwala atakującemu na wstrzyknięcie złośliwych skryptów JavaScript do procesu uwierzytelniania, które są następnie wykonywane w przeglądarce ofiary.
- CVE-2024-5139Średnie
Punkt końcowy uwierzytelniania przyjmuje dane wejściowe od użytkownika bez wystarczającego kodowania, co pozwala na wstrzyknięcie złośliwych ładunków JavaScript. Podatność można wywołać, przesyłając spreparowane dane do punktu końcowego uwierzytelniania.
- CVE-2025-10503Średnie
Punkt końcowy uwierzytelniania przyjmuje dane od użytkownika bez wymaganej walidacji, co prowadzi do braku odpowiedniego kodowania wyjścia. Umożliwia to wstrzyknięcie złośliwego JavaScriptu i atak Reflected XSS. Atakujący może przekierować przeglądarkę na złośliwą stronę, modyfikować interfejs lub wykradać informacje, ale przejęcie sesji nie jest możliwe ze względu na flagę httpOnly w ciasteczkach.
- CVE-2025-6024Średnie
Endpoint uwierzytelniania nie koduje danych wprowadzonych przez użytkownika przed renderowaniem na stronie, co pozwala na wstrzyknięcie skryptów. Atakujący może wstrzyknąć złośliwe skrypty do endpointu uwierzytelniania, co może przekierować przeglądarkę użytkownika na złośliwą stronę, manipulować interfejsem lub wykraść informacje z przeglądarki. Przejęcie sesji nie jest możliwe dzięki fladze httpOnly na ciasteczkach sesyjnych.
Oryginalny opis (angielski, źródło NVD)
The authentication endpoint generates an error message that includes reflected data directly from the request without sufficient sanitization or encoding. This allows an attacker to inject malicious scripts that can be executed in the context of a victim's browser. Successful exploitation enables an attacker to perform actions within the user's browser, such as redirecting the user to a malicious website, modifying the web page's user interface, or retrieving information. However, due to the httpOnly flag on session-related cookies, session hijacking or similar attacks are not possible.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS