CVE-2026-48999
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Atakujący wstrzykują złośliwe skrypty (np. JavaScript) do systemu docelowego. Gdy inni użytkownicy odwiedzają zainfekowane strony, skrypty wykonują się w ich przeglądarkach, umożliwiając kradzież ciasteczek, przejęcie sesji i modyfikację treści.
Ocena ryzyka
Organizacja narażona jest na kradzież danych uwierzytelniających i przejęcie kont użytkowników. Atak ma szeroki zasięg i jest trudny do wykrycia.
Rekomendacja
Należy wdrożyć mechanizmy walidacji i sanityzacji danych wejściowych oraz stosować nagłówki CSP (Content Security Policy) w aplikacjach webowych.
Inne podatności w Web Application
Zobacz wszystkie- CVE-2026-71302Wysokie
Aplikacja akceptuje identyfikatory sesji dostarczone przez użytkownika i nie regeneruje identyfikatora sesji po uwierzytelnieniu. Pozwala to atakującemu na wstępne zdefiniowanie identyfikatora sesji i ponowne użycie go po uwierzytelnieniu ofiary, co prowadzi do przejęcia sesji.
- CVE-2026-71189Niskie
Atakujący może skonstruować żądanie, które po wysłaniu przez innego użytkownika aplikacji spowoduje wykonanie kodu JavaScript dostarczonego przez atakującego w przeglądarce użytkownika w kontekście jego sesji. Jest to klasyczna podatność typu cross-site scripting (XSS).
- CVE-2026-69662Niskie
Aplikacja używa niebezpiecznych funkcji, które umożliwiają wykonywanie skryptów inline oraz funkcji ewaluacji ciągów znaków. Może to prowadzić do wykonania niezaufanego kodu JavaScript.
- CVE-2025-41716Średnie
Aplikacja internetowa pozwala niezautoryzowanemu zdalnemu atakującemu poznać informacje o istniejących kontach użytkowników wraz z ich rolami z powodu braku uwierzytelnienia dla krytycznej funkcji.
Oryginalny opis (angielski, źródło NVD)
Attackers carefully craft malicious scripts, such as JavaScript, and inject them into target systems; when other users access pages containing such malicious content, the scripts are automatically loaded and executed in the victim's browser.Attackers can thereby steal user cookies, hijack session privileges, and tamper with page content.Since the malicious code is stored within the system, the attack scope is broad and the concealment is strong, making it frequently employed for data theft attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS