CVE-2026-26483
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Mettle SendPortal 3.0.1 i wcześniejsze zawiera podatność na trwały XSS w funkcjonalności zarządzania szablonami. Aplikacja nie sanitizuje poprawnie danych wejściowych w parametrze content endpointu /templates, co pozwala atakującemu na trwałe wstrzyknięcie złośliwego kodu JavaScript.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarkach użytkowników odwiedzających zmodyfikowany szablon, co może prowadzić do kradzieży sesji, wycieku danych lub dalszych ataków.
Rekomendacja
Zaktualizuj Mettle SendPortal do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Wdróż walidację i sanitizację danych wejściowych dla wszystkich pól szablonów.
Inne podatności w Mettle SendPortal
Zobacz wszystkie- CVE-2026-15192Średnie
W Mettle SendPortal do wersji 3.0.1 wykryto brak uwierzytelnienia w komponencie APIv1 Webhooks dla funkcji sendgrid/postmark/postal/mailjet. Luka umożliwia zdalne wykorzystanie bez autoryzacji, a szczegóły ataku zostały ujawnione publicznie.
- CVE-2026-15191Średnie
W Mettle SendPortal do wersji 3.0.1 wykryto podatność w punkcie końcowym tworzenia kampanii. Nieznany kod w pliku CampaignStoreRequest.php umożliwia zdalne obejście autoryzacji. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-10234Niskie
Nieznana część pliku /webview/ w komponencie Campaign Handler w Mettle sendportal do wersji 3.0.1 jest podatna na atak XSS poprzez manipulację argumentem content. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
Mettle SendPortal 3.0.1 and earlier contains a stored cross-site scripting (XSS) vulnerability in the template management functionality. The application fails to properly sanitize user-supplied input in the content parameter of the /templates endpoint, allowing an attacker to persistently inject malicious JavaScript code that is executed in the browsers of users who access the affected template.