CVE-2026-15973
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
LimeSurvey Community Edition 7.0.5 zawiera podatność na trwały cross-site scripting (XSS) w panelu administracyjnym Survey Menu Entries. Uwierzytelniony użytkownik z uprawnieniem global settings:read może utworzyć wpis menu ankiety zawierający dane kontrolowane przez atakującego. Wartość jest przechowywana w polu surveymenu_entries.data i później wstawiana do atrybutu title w pojedynczych cudzysłowach bez odpowiedniego kodowania.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce administratora, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków.
Rekomendacja
Zaleca się aktualizację LimeSurvey do najnowszej wersji oraz ograniczenie uprawnień użytkowników z dostępem do ustawień globalnych.
Inne podatności w LimeSurvey
Zobacz wszystkie- CVE-2025-56422Krytyczne
Podatność deserializacji w LimeSurvey przed wersją 6.15.0+250623 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze.
- CVE-2026-65931Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na nieprawidłową autoryzację w punkcie końcowym tworzenia wpisów menu ankiety. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu ustawień globalnych może bezpośrednio wywołać POST /index.php/admin/menuentries/sa/create i tworzyć nowe wpisy menu bez wymaganego uprawnienia settings:update. Atakujący może również przesłać identyfikatory menu, które normalny interfejs ogranicza dla nie-superadministratorów, co umożliwia nieautoryzowane zmiany w rekordach nawigacji administracyjnej.
- CVE-2026-65930Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na przechowywany atak XSS w oknie dialogowym pól zastępczych używanym przez administratora edytora pytań. Problem dotyczy wersji 7.0.5.
- CVE-2026-63360Wysokie
LimeSurvey Community Edition 7.0.5+260623 zawiera uwierzytelnioną, odbitą podatność Cross-Site Scripting w punkcie końcowym potwierdzania aktywacji użytkownika. Parametr 'action' jest kopiowany do odpowiedzi i wstawiany do atrybutu ukrytego pola bez kodowania atrybutów HTML.
- CVE-2026-16809Wysokie
LimeSurvey Community Edition 7.0.5 zawiera podatność na trwałe Cross-Site Scripting w procesie tworzenia kwot w ankiecie. Uwierzytelniony użytkownik o niskich uprawnieniach, który może tworzyć i zarządzać własnymi ankietami, może przechowywać złośliwy JavaScript w wiadomości kwoty.
- CVE-2026-18403Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na wstrzykiwanie SQL w przepływie pracy Centralnej Bazy Uczestników (CPDB), która kopiuje tokeny uczestników ankiety do centralnej listy uczestników. Podatność wymaga uwierzytelnienia.
- CVE-2026-63361Wysokie
LimeSurvey Community Edition 7.0.5 zawiera uwierzytelnioną, odzwierciedloną podatność na cross-site scripting w punkcie końcowym edytora HTML. Parametry text i name są przepuszczane przez sanityzator czarnej listy, a następnie renderowane bez odpowiedniego kodowania wyjścia zależnego od kontekstu.
- CVE-2026-63107Wysokie
LimeSurvey do wersji 6.17.10 i 7.0.4 zawiera podatność SSRF w REST API endpointzie szablonów ankiet. Uwierzytelnieni użytkownicy mogą manipulować nagłówkiem Host, powodując wysyłanie przez serwer dowolnych żądań HTTP, co umożliwia dostęp do wewnętrznych usług sieciowych i punktów metadanych chmury.
- CVE-2026-50636Wysokie
Podatność SQL Injection w LimeSurvey w metodach API RemoteControl (invite_participants i remind_participants). Atakujący z uprawnieniami tokens/update może wstrzyknąć zapytania SQL przez niesparametryzowane dane wejściowe. Przy włączonym RPCInterface i emulowanych prepared statements możliwe jest odczytanie haseł administratora i innych danych oraz modyfikacja bazy danych.
- CVE-2026-50635Wysokie
LimeSurvey konstruuje linki do resetowania hasła na podstawie nagłówka HTTP Host dostarczonego przez klienta bez jego walidacji. Opcjonalna lista dozwolonych hostów (allowedHosts) jest niezdefiniowana w domyślnej (i udokumentowanej) konfiguracji, więc LSHttpRequest::checkIsAllowedHost() nie wykonuje żadnej operacji. Zdalny, nieuwierzytelniony atakujący, który wyśle żądanie zapomnianego hasła dla znanego konta (wymagające tylko nazwy użytkownika i e-maila ofiary) ze sfałszowanym nagłówkiem Host, powoduje, że LimeSurvey wysyła e-mailem link resetujący, którego host jest kontrolowany przez atakującego, a który zawiera prawdziwy klucz weryfikacyjny. Gdy odbiorca lub automatyczny skaner linków w zabezpieczeniach poczty kliknie link, prawidłowy token resetu zostaje ujawniony atakującemu, który może go użyć wobec legalnego hosta, aby ustawić nowe hasło i przejąć konto.
Oryginalny opis (angielski, źródło NVD)
LimeSurvey Community Edition 7.0.5 contains a stored cross-site scripting vulnerability in the Survey Menu Entries administration page. An authenticated user with the global settings:read permission can create a survey menu entry containing attacker-controlled data. The value is stored in the surveymenu_entries.data field and later inserted into a single-quoted HTML title attribute without context-appropriate encoding. This issue affects LimeSurvey: 7.0.5.