CVE-2026-27503
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
SVXportal w wersji 2.5 i wcześniejszych zawiera odbitą podatność na skrypty między witrynami (XSS) w pliku admin/log.php poprzez parametr search. Gdy uwierzytelniony administrator otworzy spreparowany URL, aplikacja osadza niesanitizowaną wartość parametru bezpośrednio w atrybucie wartości pola HTML, co pozwala na wykonanie dostarczonego przez atakującego kodu JavaScript w przeglądarce administratora.
Ocena ryzyka
Ryzyko dla organizacji obejmuje kradzież sesji administratora, fałszowanie działań administracyjnych oraz inne ataki przeglądarkowe w kontekście uprawnień administratora, co może prowadzić do pełnego przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować SVXportal do wersji nowszej niż 2.5, która zawiera poprawkę usuwającą podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego oraz stosowanie filtrowania parametru search po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
SVXportal version 2.5 and prior contain a reflected cross-site scripting vulnerability in admin/log.php via the search query parameter. When an authenticated administrator views a crafted URL, the application embeds the unsanitized parameter value directly into an HTML input value attribute, allowing attacker-supplied JavaScript to execute in the administrator's browser. This can enable session theft, administrative action forgery, or other browser-based compromise in the context of an admin user.