CVE-2026-27504
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
SVXportal w wersji 2.5 i wcześniejszych zawiera odbitą podatność na skrypty między witrynami (XSS) w pliku radiomobile_front.php poprzez parametr stationid. Gdy uwierzytelniony administrator wyświetli spreparowany URL, aplikacja osadza niesanitizowaną wartość parametru w ukrytym polu wejściowym, umożliwiając wstrzyknięcie i wykonanie skryptów w przeglądarce administratora.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przejęcia sesji administratora lub wykonania nieautoryzowanych działań w kontekście jego uwierzytelnionej sesji, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować SVXportal do wersji nowszej niż 2.5, która zawiera poprawkę usuwającą podatność. Do czasu aktualizacji zaleca się walidację i sanityzację wszystkich danych wejściowych w parametrze stationid.
Oryginalny opis (angielski, źródło NVD)
SVXportal version 2.5 and prior contain a reflected cross-site scripting vulnerability in radiomobile_front.php via the stationid query parameter. When an authenticated administrator views a crafted URL, the application embeds the unsanitized parameter value into a hidden input value field, allowing attacker-supplied script injection and execution in the administrator's browser. This can be used to compromise admin sessions or perform unauthorized actions via the administrator's authenticated context.