CVE-2026-1630

ŚrednieCVSS 5.1

Opublikowano: 14/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

WEBCON BPS jest podatny na odbity XSS poprzez jeden z parametrów używanych przez endpoint "/openinmobileapp". Atakujący może wysłać specjalnie spreparowany URL, który po otwarciu przez uwierzytelnionego użytkownika powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Problem naprawiono w wersjach 2026.1.3.109 i 2025.2.1.293.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w kontekście sesji uwierzytelnionego użytkownika, co może prowadzić do kradzieży danych sesji lub działań w imieniu ofiary. Wymaga to nakłonienia użytkownika do otwarcia spreparowanego linku.

Rekomendacja

Zaktualizuj WEBCON BPS do wersji 2026.1.3.109 lub 2025.2.1.293 (lub nowszej). Poinformuj użytkowników o ryzyku otwierania nieznanych linków.

Inne podatności w WEBCON BPS

CVE-2026-92419Średnie
WEBCON BPS jest podatny na Insecure Direct Object Reference (IDOR) w punkcie końcowym /api/vacations/{path}. Parametr selectedPeople w API wykresu Gantta urlopów nie sprawdza, czy żądający użytkownik jest upoważniony do dostępu do danych żądanych użytkowników. Uwierzytelniony atakujący może podać dowolne loginy użytkowników w parametrze selectedPeople, aby przeglądać grafiki urlopów innych pracowników, w tym menedżerów i pracowników z innych biur, niezależnie od ograniczeń dostępu logiki biznesowej, co prowadzi do nieautoryzowanego ujawnienia wrażliwych informacji o harmonogramach. Podatność została naprawiona w wersjach: 2025.2.1.177 i 2026.1.1.20.

Oryginalny opis (angielski, źródło NVD)

WEBCON BPS is vulnerable to Reflected XSS via one of parameters used by "/openinmobileapp" endpoint. An attacker can send a specially crafted URL that, when opened by an authenticated user, results in arbitrary JavaScript execution in the victim's browser. This issue was fixed in versions 2026.1.3.109 and 2025.2.1.293.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS