CVE-2026-35015
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Open ISES Tickets przed wersją 3.44.2 zawiera podatność na odbity cross-site scripting (XSS) w pliku do_unit_mail.php. Uwierzytelnieni atakujący mogą wstrzyknąć dowolny kod JavaScript poprzez przekazanie niesanityzowanej wartości w parametrze GET the_ticket bezpośrednio do przypisania zmiennej JavaScript. Atakujący mogą stworzyć złośliwy URL zawierający ładunek JavaScript w parametrze the_ticket, który wykonuje się w przeglądarce ofiary po odwiedzeniu URL.
Ocena ryzyka
Organizacja narażona jest na ataki XSS, które mogą prowadzić do kradzieży sesji, przejęcia kont użytkowników lub wycieku danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Open ISES Tickets do wersji 3.44.2 lub nowszej oraz wdrożenie walidacji i sanityzacji danych wejściowych.
Inne podatności w Open ISES Tickets
Zobacz wszystkie- CVE-2026-48897Wysokie
Niewystarczające sprawdzanie stanu umożliwia ominięcie kontroli uwierzytelniania dwuskładnikowego (2FA).
- CVE-2026-48249Średnie
Open ISES Tickets przed wersją 3.44.2 wyłącza weryfikację certyfikatu TLS w rm/incs/mobile_login.inc.php poprzez ustawienie CURLOPT_SSL_VERIFYPEER na false (i nie ustawienie CURLOPT_SSL_VERIFYHOST) podczas wykonywania wychodzących żądań HTTPS w przepływie logowania mobilnego (RouteMate). Atakujący znajdujący się na ścieżce sieciowej między serwerem a zdalnym punktem końcowym może przedstawić sfałszowany certyfikat w celu przechwycenia, monitorowania lub modyfikacji żądania i odpowiedzi, w tym kluczy API lub danych sesyjnych.
- CVE-2026-48248Średnie
Open ISES Tickets przed wersją 3.44.2 wyłącza weryfikację certyfikatu TLS w pliku incs/login.inc.php, ustawiając CURLOPT_SSL_VERIFYPEER na false. Atakujący w sieci między serwerem a zdalnym punktem końcowym może przedstawić sfałszowany certyfikat i przechwycić dane uwierzytelniające.
- CVE-2026-48247Średnie
Open ISES Tickets przed wersją 3.44.2 wyłącza weryfikację certyfikatu TLS w incs/functions.inc.php poprzez ustawienie CURLOPT_SSL_VERIFYPEER na false (i nie ustawienie CURLOPT_SSL_VERIFYHOST) podczas wykonywania ogólnych wychodzących żądań HTTPS przez współdzielone funkcje pomocnicze. Atakujący na ścieżce sieciowej może przedstawić sfałszowany certyfikat w celu przechwycenia, monitorowania lub modyfikacji żądania i odpowiedzi, w tym kluczy API lub danych sesyjnych.
- CVE-2026-48246Średnie
Open ISES Tickets przed wersją 3.44.2 wyłącza weryfikację certyfikatu TLS w ajax/reports.php poprzez ustawienie CURLOPT_SSL_VERIFYPEER na false (i nie ustawienie CURLOPT_SSL_VERIFYHOST) podczas wykonywania wychodzących żądań HTTPS dla zapytań do Google Maps Directions API podczas generowania raportów incydentów. Atakujący na ścieżce sieciowej może przedstawić sfałszowany certyfikat w celu przechwycenia, monitorowania lub modyfikacji żądania i odpowiedzi, w tym kluczy API lub danych sesyjnych.
- CVE-2026-48245Średnie
Open ISES Tickets przed wersją 3.44.2 zawiera zakodowany na stałe klucz API Google Maps w pliku tables.php, który jest zatwierdzony w publicznym repozytorium źródłowym. Każdy z dostępem do kodu źródłowego może wyodrębnić ten klucz i używać go do wykonywania żądań Google Maps Platform obciążających konto Google Cloud pierwotnego właściciela.
- CVE-2026-48244Średnie
Open ISES Tickets przed wersją 3.44.2 zawiera zakodowany na stałe klucz API Google Maps w pliku settings.inc.php, który jest zatwierdzony w publicznym repozytorium źródłowym. Każdy z dostępem do kodu źródłowego może wyodrębnić ten klucz i używać go do wykonywania żądań Google Maps Platform obciążających konto Google Cloud pierwotnego właściciela.
- CVE-2026-48243Średnie
W Open ISES Tickets przed wersją 3.44.2 w pliku wp1.php osadzono na stałe klucz API do usługi WhitePages reverse-phone. Klucz ten jest publicznie dostępny w repozytorium źródłowym, co pozwala każdemu z dostępem do kodu na jego odczytanie i wykorzystanie do wykonywania zapytań do API stron trzecich.
- CVE-2026-48242Wysokie
W Open ISES Tickets przed 3.44.2 w pliku import_mdb.php znajdują się zakodowane na stałe dane uwierzytelniające do bazy MySQL (host, użytkownik, hasło, nazwa bazy). Dane te są publicznie dostępne w repozytorium kodu.
- CVE-2026-48241Wysokie
Open ISES Tickets przed wersją 3.44.2 zawiera zakodowane na stałe dane uwierzytelniające bazy danych MySQL w pliku loader.php (publicznie dostępne narzędzie bazodanowe), które są zatwierdzone w repozytorium źródłowym. Każdy podmiot z dostępem do publicznego drzewa źródłowego (lub nieuwierzytelniony atakujący z dostępem do odczytu pliku na wdrożonej instalacji) może odczytać nazwę użytkownika, hasło i nazwę bazy danych i użyć ich do połączenia z bazą danych, jeśli jest ona osiągalna z ich sieci.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a reflected cross-site scripting vulnerability in do_unit_mail.php that allows authenticated attackers to inject arbitrary JavaScript by passing an unsanitized value through the the_ticket GET parameter directly into a JavaScript variable assignment. Attackers can craft a malicious URL containing a JavaScript payload in the the_ticket parameter that executes in the victim's browser when the URL is visited.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS