CVE-2026-48910
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność XSS w Apache JSPWiki umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez specjalnie spreparowane żądanie edycji, wykorzystujące błędy parsowania w rendererze Markdown. Atak może doprowadzić do przejęcia sesji ofiary i kradzieży wrażliwych danych.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania skryptów w przeglądarce ofiary, co może prowadzić do kradzieży danych uwierzytelniających, sesji lub innych poufnych informacji.
Rekomendacja
Należy niezwłocznie zaktualizować Apache JSPWiki do wersji 2.12.4, która zawiera poprawkę eliminującą podatność.
Inne podatności w Apache JSPWiki
Zobacz wszystkie- CVE-2026-28812Krytyczne
Apache JSPWiki do wersji 2.12.3 ma brak kontroli w UserManager, co pozwala na podszywanie się pod innych użytkowników. Atakujący może eskalować swoje uprawnienia.
- CVE-2026-28814Wysokie
Apache JSPWiki do wersji 2.12.3 jest podatny na dowolne renderowanie znaczników Wiki z powodu braku uwierzytelniania. Atakujący może uzyskać wrażliwe dane przechowywane w zmiennych JSPWiki.
- CVE-2026-28813Wysokie
Apache JSPWiki do wersji 2.12.3 jest podatny na JSON Hijacking, co prowadzi do podatności CSRF. Atakujący może wykorzystać to do wykonywania nieautoryzowanych działań w imieniu użytkownika.
- CVE-2026-28811Wysokie
Apache JSPWiki do wersji 2.12.3 ujawnia niepotrzebne informacje w komunikatach debugowania. Może to prowadzić do wycieku wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
A carefully crafted editing request could trigger an XSS vulnerability on Apache JSPWiki when parsing errors on the markdown renderer, which could allow the attacker to execute javascript in the victim's browser and get some sensitive information about the victim. This issue affects Apache JSPWiki: through 2.12.3. Users are recommended to upgrade to version 2.12.4, which fixes the issue.