CVE-2026-34813
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Endian Firewall w wersji 3.3.25 i starszych zawiera podatność na trwały XSS przez parametr user w /cgi-bin/proxyuser.cgi. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript, który jest przechowywany i wykonywany, gdy inni użytkownicy przeglądają dotkniętą stronę.
Ocena ryzyka
Skrypt wykonuje się w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji lub nieautoryzowanych działań w interfejsie zarządzania firewallem.
Rekomendacja
Zaktualizuj Endian Firewall do najnowszej wersji, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Endian Firewall version 3.3.25 and prior allow stored cross-site scripting (XSS) via the user parameter to /cgi-bin/proxyuser.cgi. An authenticated attacker can inject arbitrary JavaScript that is stored and executed when other users view the affected page.