CVE-2026-27506
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W SVXportal w wersji 2.5 i wcześniejszych odkryto podatność na trwałe ataki XSS w procesie aktualizacji profilu użytkownika. Zautoryzowani użytkownicy mogą wstrzykiwać złośliwy kod HTML/JavaScript do pól takich jak imię, nazwisko, email czy URL obrazka, który jest następnie wyświetlany bez odpowiedniego kodowania w interfejsie administratora, co prowadzi do wykonania skryptu w przeglądarce administratora.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych lub wykonania nieautoryzowanych działań w systemie przez atakującego, który ma konto użytkownika.
Rekomendacja
Należy natychmiast zaktualizować SVXportal do wersji nowszej niż 2.5, która zawiera poprawkę usuwającą podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego oraz ręczne sprawdzanie i czyszczenie danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
SVXportal version 2.5 and prior contain a stored cross-site scripting vulnerability in the user profile update workflow (user_settings.php submitting to admin/update_user.php). Authenticated users can store malicious HTML/JavaScript in fields such as Firstname, lastname, email, and image_url, which are later rendered without adequate output encoding in the administrator interface (admin/users.php), resulting in JavaScript execution in an administrator's browser when the affected page is viewed.