CVE-2026-47687
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność XSS w FOG (open-source narzędzie do klonowania/obrazowania) pozwala nieuwierzytelnionemu atakującemu, znającemu adres MAC hosta, na wstrzyknięcie złośliwego JavaScriptu poprzez parametr sysproduct. Ładunek wykonuje się w przeglądarce administratora podczas przeglądania raportów inwentaryzacji.
Ocena ryzyka
Ryzyko wykonania dowolnego kodu JavaScript w kontekście sesji administratora, co może prowadzić do kradzieży danych lub dalszych ataków.
Rekomendacja
Zaktualizuj FOG do wersji 1.5.10.1832 lub 1.6.0-beta.2313.
Inne podatności w FOG
Zobacz wszystkie- CVE-2026-47689Średnie
FOG (system do klonowania/obrazowania/zapasów) przed wersjami 1.5.10.1832 i 1.6.0-beta.2313 zawiera podatność na wstrzykiwanie HTML/JavaScript. Nieuwierzytelniony atakujący znający adres MAC hosta może przesłać złośliwe dane do /service/inventory.php, które są przechowywane w bazie. Gdy administrator otworzy zakładkę Group Inventory, kod wykona się w jego przeglądarce.
- CVE-2026-47688Wysokie
Podatność w FOG (system zarządzania obrazami i inwentaryzacją). Nieuwierzytelniony atakujący może zdalnie wyczyścić klucze AES i usunąć zaplanowane zadania zarządzania energią poprzez żądanie HTTP GET.
- CVE-2026-47685Wysokie
Podatność w FOG, wolnym systemie do klonowania, obrazowania, ratowania i zarządzania inwentarzem. Przed wersjami 1.5.10.1832 i 1.6.0-beta.2313, nieuwierzytelniony endpoint usługi inwentaryzacji (`/service/inventory.php`) przechowuje wartości dostarczone przez klienta bez sanityzacji, a strona zarządzania inwentarzem wyświetla statyczne pola inwentarza bez kodowania wyjścia, co umożliwia trwałe XSS w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
FOG is a free open-source cloning/imaging/rescue suite/inventory management system. Prior to versions 1.5.10.1832 and 1.6.0-beta.2313, the `selectForm()` helper in `fogpage.class.php` renders `<option>` labels using raw, unescaped user input. An unauthenticated attacker who knows any registered host's MAC address can POST a malicious `sysproduct` value to `/service/inventory.php`, which is stored in the database. When an administrator opens Reports > Inventory, the payload breaks out of the `<option>` element and executes arbitrary JavaScript in the admin's browser. Versions 1.5.10.1832 and 1.6.0-beta.2313 fix the issue.