CVE-2026-27505
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność na trwałe XSS w SVXportal 2.5 i starszych wersjach. Nieuwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript przez pola rejestracji użytkownika (imię, nazwisko, email), który wykona się w przeglądarce administratora podczas przeglądania listy użytkowników.
Ocena ryzyka
Ryzyko przejęcia sesji administratora, kradzieży danych lub wykonania nieautoryzowanych działań w panelu administracyjnym, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować SVXportal do wersji 2.6 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego oraz walidację i kodowanie wyjścia danych użytkownika.
Oryginalny opis (angielski, źródło NVD)
SVXportal version 2.5 and prior contain a stored cross-site scripting vulnerability in the user registration workflow (index.php submitting to admin/user_action.php). User-supplied fields such as Firstname, lastname, and email are stored in the backend database without adequate output encoding and are later rendered in the administrator interface (admin/users.php), allowing an unauthenticated remote attacker to inject arbitrary JavaScript that executes in an administrator's browser upon viewing the affected page.