CVE-2026-34416
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
OSCAL-GUI zawiera odbitą podatność XSS, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez wstrzyknięcie złośliwych danych do parametru żądania projektu. Atakujący może stworzyć złośliwy URL, który przełamuje kontekst ciągu JavaScript i atrybutu HTML w procedurze obsługi zdarzenia onload, co prowadzi do wykonania skryptów po kliknięciu linku przez ofiarę.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście ofiary, co może prowadzić do wycieku danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację OSCAL-GUI do najnowszej wersji zawierającej poprawkę oraz wdrożenie walidacji i sanityzacji danych wejściowych dla parametru żądania projektu.
Inne podatności w OSCAL-GUI
Oryginalny opis (angielski, źródło NVD)
OSCAL-GUI contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to execute arbitrary JavaScript in a victim's browser by injecting malicious input through the project request parameter. Attackers can craft a malicious URL containing unsanitized input that breaks out of the JavaScript string and HTML attribute context in the body onload event handler to execute arbitrary scripts when the link is visited by a victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS