CVE-2026-119680

WysokieCVSS 8.5

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W SharePoint Manager Plus (SPMP) występuje podatność stored XSS w funkcji wykresów z powodu niewłaściwej sanityzacji i kodowania HTML danych kontrolowanych przez użytkownika. Atakujący może wstrzyknąć złośliwy HTML lub JavaScript do atrybutów używanych do generowania wykresów, w tym pełnych imion i nazwisk użytkowników, nazw witryn lub grup. Wstrzyknięta treść jest przechowywana i wykonywana w przeglądarkach innych użytkowników. Podatność naprawiono w buildzie 4508.

Ocena ryzyka

Możliwe jest wykonanie złośliwego skryptu w kontekście przeglądarki innych użytkowników, co może prowadzić do kradzieży sesji lub danych.

Rekomendacja

Zaktualizuj SharePoint Manager Plus do builda 4508 lub nowszego. Wprowadź sanityzację i kodowanie HTML dla danych wyświetlanych na wykresach.

Inne podatności w ManageEngine SharePoint Manager Plus

CVE-2026-119682Wysokie
W ManageEngine SharePoint Manager Plus (SPMP) występuje niewłaściwa kontrola dostępu w funkcji uwierzytelniania wieloskładnikowego (MFA). Użytkownik z niskimi uprawnieniami może ominąć kontrole autoryzacji, aby odczytywać i modyfikować ustawienia MFA, włączać lub wyłączać MFA, wyliczać użytkowników zapisanych do MFA oraz usuwać ich konta. Podatność naprawiono w buildzie 4507.

Oryginalny opis (angielski, źródło NVD)

A stored cross-site scripting (XSS) vulnerability exists in the chart feature of SharePoint Manager Plus (SPMP) due to improper sanitization and HTML encoding of user-controlled data. An attacker can inject malicious HTML or JavaScript into attributes used to generate charts, including users' full names, site names, or group names. The injected content is stored and subsequently executed in the context of other users' browsers when the affected charts are rendered. This vulnerability was fixed in client application build 4508.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS