CVE-2026-34907

ŚrednieCVSS 5.1

Opublikowano: 02/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wirtualna Uczelnia jest podatna na Reflected Cross‑Site Scripting (XSS) z powodu niebezpiecznego przetwarzania parametru locale w wielu endpointach. Atakujący może spreparować złośliwy URL z JavaScriptem w parametrze locale i wysłać go ofierze. Po otwarciu linku skrypt zostanie wykonany w przeglądarce ofiary.

Ocena ryzyka

Atakujący może wykonać dowolny JavaScript w kontekście ofiary, co może prowadzić do kradzieży sesji, przekierowań do złośliwych stron lub kradzieży danych.

Rekomendacja

Zaktualizuj Wirtualną Uczelnię do wersji nowszej niż wu#2016.437.295#0#20260327_105545 lub zastosuj odpowiednie kodowanie danych wyjściowych dla parametru locale.

Inne podatności w Wirtualna Uczelnia

CVE-2026-34906Krytyczne
W systemie Wirtualna Uczelnia (wersje do wu#2016.437.295#0#20260327_105545) występuje podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w endpointcie redirectToUrl. Nieuwierzytelniony atakujący może wstrzyknąć wyrażenia szablonu, co prowadzi do zdalnego wykonania kodu (RCE), w tym uzyskania reverse shella.

Oryginalny opis (angielski, źródło NVD)

Wirtualna Uczelnia is vulnerable to Reflected Cross‑Site Scripting (XSS) due to insecure handling of the locale parameter across multiple endpoints. An attacker can craft a malicious URL with JavaScript embedded in the locale parameter and send it to a victim. When the victim opens the link, the injected script will be executed in their browser. This issue affects Wirtualna Uczelnia versions up to wu#2016.437.295#0#20260327_105545

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS