CVE-2026-19744
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność na cross-site scripting w rendererze Markdown w maalfer Pentestify przed wersją 2.3.2 pozwala uwierzytelnionym użytkownikom na wykonanie dowolnego JavaScript w kontekście aplikacji poprzez link Markdown, którego URL zawiera cudzysłów, co zamyka atrybut href kotwicy, ponieważ proces sanityzacji nie escapuje cudzysłowów.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania skryptów w kontekście aplikacji, co może prowadzić do kradzieży danych, przejęcia sesji lub innych nieautoryzowanych działań.
Rekomendacja
Zaleca się aktualizację Pentestify do wersji 2.3.2 lub nowszej, która zawiera poprawkę dla tej podatności.
Oryginalny opis (angielski, źródło NVD)
Cross-site Scripting in the Markdown renderer in maalfer Pentestify before 2.3.2 allows authenticated users to execute arbitrary JavaScript in the application origin via a Markdown link whose URL contains a double quote, which closes the anchor's href attribute because the renderer's sanitization step does not escape quotes