CVE-2026-19434
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Cross-site Scripting w rendererze wyników w maalfer Pentestify przed wersją 2.3.1 umożliwia uwierzytelnionym użytkownikom wykonanie dowolnego JavaScriptu w kontekście aplikacji poprzez znaczniki HTML przechowywane w polu ważności wyniku, które frontend interpoluje bez escapowania do atrybutów class i style podczas renderowania raportu.
Ocena ryzyka
Ryzyko przejęcia sesji użytkowników, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście aplikacji przez uwierzytelnionych użytkowników.
Rekomendacja
Zaktualizuj Pentestify do wersji 2.3.1 lub nowszej, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo należy odpowiednio escapować dane wejściowe w polu ważności.
Oryginalny opis (angielski, źródło NVD)
Cross-site Scripting in the finding renderer in maalfer Pentestify before 2.3.1 allows authenticated users to execute arbitrary JavaScript in the application origin via HTML markup stored in a finding's severity field, which the frontend interpolates unescaped into class and style attributes when rendering the report.