CVE-2026-48215
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Open ISES Tickets przed wersją 3.44.2 w pliku circle.php występuje odbita podatność XSS. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez przekazanie niesanityzowanej wartości w parametrze POST frm_id bezpośrednio do atrybutu wartości pola formularza HTML.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub kradzieży danych.
Rekomendacja
Należy niezwłocznie zaktualizować Open ISES Tickets do wersji 3.44.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a reflected cross-site scripting vulnerability in circle.php that allows authenticated attackers to inject arbitrary JavaScript by passing an unsanitized value through the frm_id POST parameter directly into an HTML form input value attribute. Attackers can craft a malicious request containing a JavaScript payload that executes in the victim's browser when the response is rendered.