CVE-2026-12948
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W interfejsie zarządzania siecią urządzeń Digi PortServer TS, Digi One SP, Digi One SP IA oraz Digi One IA wykryto podatność na trwałe ataki XSS. Zdalny, uwierzytelniony administrator może wstrzyknąć złośliwy skrypt do pól konfiguracyjnych systemu, który następnie wykonuje się w przeglądarce użytkownika przeglądającego zaatakowane strony.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary, co może prowadzić do naruszenia poufności i integralności danych zarządzanych przez urządzenie.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie układowe (firmware) urządzeń Digi do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji ogranicz dostęp do interfejsu zarządzania tylko do zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the web management interface of the Digi PortServer TS, Digi One SP, Digi One SP IA, and Digi One IA allows a remote, authenticated administrator to inject script into certain system configuration fields. The script subsequently executes in the browser of a user who views the affected pages (CWE-79).