CVE-2026-34822
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Endian Firewall w wersji 3.3.25 i wcześniejszych zawiera podatność na trwały cross-site scripting (XSS) poprzez parametr new_cert_name w /manage/ca/certificate/. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript, który jest przechowywany i wykonywany, gdy inni użytkownicy odwiedzają tę stronę.
Ocena ryzyka
Organizacja narażona jest na kradzież sesji, przejęcie kont innych administratorów lub wykonanie nieautoryzowanych działań w panelu zarządzania firewallem.
Rekomendacja
Zaleca się aktualizację Endian Firewall do wersji nowszej niż 3.3.25, która zawiera poprawkę usuwającą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
Endian Firewall version 3.3.25 and prior allow stored cross-site scripting (XSS) via the new_cert_name parameter to /manage/ca/certificate/. An authenticated attacker can inject arbitrary JavaScript that is stored and executed when other users view the affected page.