CVE-2026-34098
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 — wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność w systemie językowym Guardian polega na braku sanityzacji parametru GET 'id' przed wstawieniem go do kodu HTML i atrybutów akcji formularza w pliku media.php (linie 119, 129). Uwierzytelniony atakujący może stworzyć URL, który wstrzykuje znaczniki skryptów wykonujące się w sesji przeglądarki ofiary.
Ocena ryzyka
Ryzyko obejmuje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku poufnych danych.
Rekomendacja
Należy natychmiast zaktualizować system językowy Guardian do najnowszej wersji zawierającej poprawkę oraz zastosować walidację i sanityzację wszystkich parametrów GET przed użyciem w kontekście HTML.
Oryginalny opis (angielski, źródło NVD)
Guardian language-system fails to sanitize the id GET parameter before inserting it into HTML source and form action attributes in media.php (lines 119, 129). An authenticated attacker can craft a URL that injects script tags executing in the victim's browser session.