CVE-2026-47106

ŚrednieCVSS 5.4

Opublikowano: 09/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Ellucian Banner Self-Service przed wydaniem z kwietnia 2025 (2025-04-23) zawiera trwałą podatność XSS w funkcji wyszukiwania kursów, która pozwala uwierzytelnionym użytkownikom Banner ERP na wstrzykiwanie złośliwych ładunków do pól wydziału i kursu poprzez wykorzystanie braku kodowania HTML podczas wstawiania do DOM. Atakujący z dostępem do zapisu w Banner ERP może przechowywać złośliwy JavaScript w polach takich jak displayName, emailAddress, subjectDescription lub courseTitle; wartości te są następnie serwowane bez sanityzacji przez nieuwierzytelniony endpoint API getFacultyMeetingTimes, powodując wykonanie skryptów w przeglądarce każdego użytkownika, który wyświetli godziny spotkań danego kursu.

Ocena ryzyka

Ryzyko obejmuje możliwość wykonania złośliwych skryptów w przeglądarkach wielu użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania w organizacji.

Rekomendacja

Zaleca się natychmiastową aktualizację Ellucian Banner Self-Service do wersji z kwietnia 2025 lub nowszej oraz wdrożenie kodowania HTML dla wszystkich danych wyświetlanych w DOM.

Inne podatności w Ellucian Banner Self-Service

CVE-2026-32856Średnie
Ellucian Banner Self-Service przed wydaniem z kwietnia 2025 (T2) zawiera odbity atak Cross-Site Scripting (XSS), który pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego JavaScript w przeglądarce ofiary poprzez wstrzyknięcie niesanityzowanego wejścia przez parametr toDateFormat w endpointcie dateConverter. Atakujący mogą stworzyć złośliwy URL kierujący na nieuwierzytelniony endpoint dateConverter, aby ukraść ciasteczka sesji lub wykonać inne złośliwe działania w kontekście sesji ofiary.

Oryginalny opis (angielski, źródło NVD)

Ellucian Banner Self-Service before the April T2 release (2025-04-23) contains a stored cross-site scripting vulnerability in the course search functionality that allows authenticated Banner ERP users to inject malicious payloads into faculty and course fields by exploiting missing HTML encoding during DOM insertion. An attacker with Banner ERP write access can store malicious JavaScript in fields such as faculty displayName, emailAddress, subjectDescription, or courseTitle; these values are subsequently served unsanitized by the unauthenticated getFacultyMeetingTimes API endpoint, causing arbitrary script execution in the browser of any user who views the affected course's meeting times.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS