CVE-2026-18741
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Worksuite SaaS w wersjach przed 6.0.14 zawiera podatność na trwały atak XSS w module Asset Management. Uwierzytelnieni administratorzy mogą wstrzyknąć dowolny kod JavaScript, wprowadzając złośliwe dane do pól Location i Description podczas tworzenia nowego zasobu. Zapisane skrypty wykonują się automatycznie w przeglądarkach użytkowników, co może prowadzić do przejęcia sesji, kradzieży poświadczeń i nieautoryzowanych działań.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, ukraść dane uwierzytelniające lub wykonywać działania w imieniu zalogowanych użytkowników, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji.
Rekomendacja
Należy jak najszybciej zaktualizować Worksuite SaaS do wersji 6.0.14 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
Worksuite SaaS versions prior to 6.0.14 contains a stored cross-site scripting vulnerability in the Asset Management module that allows authenticated administrators to inject arbitrary JavaScript by entering malicious payloads into the Location and Description fields when creating a new asset. Attackers can store crafted HTML script tags in the application database that execute automatically in the browsers of any user who views the affected asset, potentially leading to session hijacking, credential theft, and unauthorized actions on behalf of authenticated users.