CVE-2026-31013

ŚrednieCVSS 6.1

Opublikowano: 21/04/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 24/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

W aplikacji ADPhonebook firmy Dovestones Software w wersjach przed 4.0.1.1 występuje podatność typu reflected XSS w parametrze wyszukiwania endpointu /ADPhonebook?Department=HR. Dane wejściowe użytkownika są odzwierciedlane w odpowiedzi HTTP bez walidacji i kodowania wyjścia, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Ocena ryzyka

Atakujący może nakłonić zalogowanego użytkownika do kliknięcia spreparowanego linku, co umożliwi kradzież sesji lub wykonanie działań w kontekście ofiary. Może to prowadzić do przejęcia konta lub wycieku danych z katalogu telefonicznego.

Rekomendacja

Zaktualizuj ADPhonebook do wersji 4.0.1.1 lub nowszej. Do czasu aktualizacji wdróż walidację i kodowanie danych wejściowych oraz rozważ użycie WAF do blokowania prób XSS.

Inne podatności w ADPhonebook

CVE-2026-36460Średnie
Dovestones Software ADPhonebook przed wersją 4.0.1.1 jest podatny na Cross-Site Scripting (XSS). API /Admin/Save pozwala uwierzytelnionemu administratorowi na przechowywanie złośliwych ładunków JavaScript w wielu sekcjach konfiguracyjnych bez odpowiedniej walidacji wejścia lub kodowania wyjścia.

Oryginalny opis (angielski, źródło NVD)

Dovestones Softwares ADPhonebook <4.0.1.1 has a reflected cross-site scripting (XSS) vulnerability in the search parameter of the /ADPhonebook?Department=HR endpoint. User-supplied input is reflected in the HTTP response without proper input validation or output encoding, allowing execution of arbitrary JavaScript in the victim's browser.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS