CVE-2026-36725
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
FastapiAdmin w wersji v2.2.0 zawiera podatność na XSS opartą na Markdown w punkcie końcowym /system/notice/create. Atakujący mogą wstrzyknąć złośliwy kod JavaScript lub HTML do parametru notice_content, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań do złośliwych stron lub innych ataków.
Rekomendacja
Zaleca się aktualizację FastapiAdmin do najnowszej wersji, która zawiera poprawkę eliminującą tę podatność, oraz walidację danych wejściowych.
Inne podatności w FastapiAdmin
Zobacz wszystkie- CVE-2026-36728Średnie
Funkcja czatu asystenta AI w FastapiAdmin v2.2.0 zawiera podatność na XSS opartą na Markdown. Atakujący może wstrzyknąć dowolne skrypty lub HTML poprzez wysłanie spreparowanej wiadomości czatu.
- CVE-2026-36724Średnie
Nieobsłużony wyjątek w punkcie końcowym /application/job/update/{id} w FastapiAdmin v2.2.0 pozwala uwierzytelnionym atakującym z uprawnieniem module_task:job:update na spowodowanie odmowy usługi (DoS) poprzez manipulowanie polem func zaplanowanych zadań.
Oryginalny opis (angielski, źródło NVD)
A markdown based cross-site scripting (XSS) vulnerability in the /system/notice/create endpoint of FastapiAdmin v2.2.0 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the notice_content parameter.