CVE-2026-13537
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W systemie CodeAstro Human Resource Management System 1.0 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF). Nieznana funkcja systemu umożliwia atakującemu zdalne wykonanie nieautoryzowanych działań w imieniu uwierzytelnionego użytkownika. Exploit został opublikowany i może być wykorzystany w praktyce.
Ocena ryzyka
Atak CSRF może pozwolić na wykonanie nieautoryzowanych operacji w systemie HR, takich jak modyfikacja danych pracowników czy zmiana konfiguracji, co zagraża integralności i poufności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować łatkę od producenta. W międzyczasie wdrożyć mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF i sprawdzanie nagłówka Origin.
Inne podatności w CodeAstro Human Resource Management System
Zobacz wszystkie- CVE-2026-13535Średnie
W systemie CodeAstro Human Resource Management System 1.0 wykryto podatność na iniekcję SQL w funkcji GetFileInfo pliku Employee_model.php. Manipulacja argumentem ID w endpointcie widoku umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-13525Średnie
W systemie CodeAstro Human Resource Management System 1.0 wykryto podatność SQL Injection w funkcji emselectByCode pliku Employee_model.php. Atak polega na manipulacji argumentem emid w punkcie końcowym Update_Earn_Leave. Luka może być wykorzystana zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-11491Niskie
W systemie CodeAstro Human Resource Management System 1.0 znaleziono podatność na atak XSS w funkcji wyświetlania ogłoszeń. Manipulacja argumentem 'Notice Title' przez przesłanie formularza POST z kodem JavaScript powoduje wykonanie skryptu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in CodeAstro Human Resource Management System 1.0. Impacted is an unknown function. The manipulation results in cross-site request forgery. The attack may be launched remotely. The exploit has been made public and could be used.