CVE-2026-32856

ŚrednieCVSS 6.1

Opublikowano: 09/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Ellucian Banner Self-Service przed wydaniem z kwietnia 2025 (T2) zawiera odbity atak Cross-Site Scripting (XSS), który pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego JavaScript w przeglądarce ofiary poprzez wstrzyknięcie niesanityzowanego wejścia przez parametr toDateFormat w endpointcie dateConverter. Atakujący mogą stworzyć złośliwy URL kierujący na nieuwierzytelniony endpoint dateConverter, aby ukraść ciasteczka sesji lub wykonać inne złośliwe działania w kontekście sesji ofiary.

Ocena ryzyka

Ryzyko polega na możliwości kradzieży sesji użytkownika i przejęcia konta bez konieczności uwierzytelnienia atakującego.

Rekomendacja

Zaleca się natychmiastową aktualizację Ellucian Banner Self-Service do wersji z kwietnia 2025 lub nowszej oraz zastosowanie poprawek bezpieczeństwa.

Inne podatności w Ellucian Banner Self-Service

CVE-2026-47106Średnie
Ellucian Banner Self-Service przed wydaniem z kwietnia 2025 (2025-04-23) zawiera trwałą podatność XSS w funkcji wyszukiwania kursów, która pozwala uwierzytelnionym użytkownikom Banner ERP na wstrzykiwanie złośliwych ładunków do pól wydziału i kursu poprzez wykorzystanie braku kodowania HTML podczas wstawiania do DOM. Atakujący z dostępem do zapisu w Banner ERP może przechowywać złośliwy JavaScript w polach takich jak displayName, emailAddress, subjectDescription lub courseTitle; wartości te są następnie serwowane bez sanityzacji przez nieuwierzytelniony endpoint API getFacultyMeetingTimes, powodując wykonanie skryptów w przeglądarce każdego użytkownika, który wyświetli godziny spotkań danego kursu.

Oryginalny opis (angielski, źródło NVD)

Ellucian Banner Self-Service before the April T2 release (2025-04-23) contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to execute arbitrary JavaScript in a victim's browser by injecting unsanitized input through the toDateFormat request parameter in the dateConverter endpoint. Attackers can craft a malicious URL targeting the unauthenticated dateConverter endpoint to steal session cookies or perform other malicious actions in the context of the victim's browser session.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS