CVE-2026-48218
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku icons/buttons/landb.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez przekazanie niesanityzowanych wartości w parametrach POST frm_name i frm_id, które są bezpośrednio renderowane w HTML i inline JavaScript.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, wycieku danych lub innych działań na koncie użytkownika.
Rekomendacja
Zaleca się natychmiastową aktualizację Open ISES Tickets do wersji 3.44.2 lub nowszej, która zawiera poprawkę usuwającą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a reflected cross-site scripting vulnerability in icons/buttons/landb.php that allows authenticated attackers to inject arbitrary JavaScript by passing an unsanitized value through the frm_name and frm_id POST parameters directly into rendered HTML content and inline JavaScript. Attackers can craft a malicious request containing a JavaScript payload that executes in the victim's browser when the response is rendered.