CVE-2026-15371
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Interfejs webowy Velociraptor pozwala na określenie niestandardowego typu dla kolumn w tabelach. Typ URL przyjmuje wartość komórki i tworzy URL, który można kliknąć w GUI. Kod nie ogranicza dozwolonych schematów w tym URL, co pozwala atakującemu na określenie schematu JavaScript, narażając użytkownika na XSS.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, danych lub przejęcia konta.
Rekomendacja
Zaleca się zaktualizowanie Velociraptor do wersji z poprawką oraz ograniczenie dozwolonych schematów URL w konfiguracji kolumn.
Oryginalny opis (angielski, źródło NVD)
Velociraptor's web GUI allows specifying a custom type for columns in tables. The URL type takes the cell value and forms a URL which can be clicked in the GUI.The code does not limit the schemes allowed in this URL , allowing an attacker to specify a JavaScript scheme exposing the user to XSS.