CVE-2026-4952
ŚrednieCVSS 5.1Streszczenie
Interfejs webowy ASMobile w pakiecie VertiGIS GIS Portal pozwala uwierzytelnionym użytkownikom zdefiniować referencję biznesową, w którą można wstawić kod JavaScript. Sam w sobie jest to self-XSS, ale referencja jest dołączana do szczegółów zamówienia i później wyświetlana w portalu OrderAdministration (AuftragsManager) systemu VertiGIS WebOrderSystem, gdzie kod wykonuje się, gdy uprzywilejowany użytkownik otworzy zamówienie.
Ocena ryzyka
Uprzywilejowany użytkownik otwierający zamówienie może stać się ofiarą ataku XSS, co może prowadzić do przejęcia sesji lub wykonania nieautoryzowanych działań w jego kontekście. Może to naruszyć bezpieczeństwo systemu zamówień.
Rekomendacja
Zaktualizuj WebOrderSystem do wersji zawierającej poprawkę, gdy będzie dostępna, i wdróż walidację/sanityzację danych wejściowych w polu referencji biznesowej. Rozważ ograniczenie możliwości wprowadzania kodu JavaScript przez użytkowników.
Inne podatności w VertiGIS WebOrderSystem
Zobacz wszystkie- CVE-2026-4951Średnie
Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom wyszukiwać pracowników we wszystkich firmach (grupach użytkowników). Wyszukiwany termin można przekazać w parametrze URL searchValue, więc wyszukiwanie odbywa się, gdy zalogowany użytkownik otworzy taki URL, a kod JavaScript w tym parametrze jest wykonywany w przeglądarce ofiary.
- CVE-2026-4950Średnie
Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom zarządzać pracownikami zdefiniowanych firm (grup użytkowników). Właściwości użytkownika, np. parametr "secondName", można wypełnić kodem JavaScript podczas edycji użytkownika; kod jest zapisywany i wykonywany w przeglądarce innego uprzywilejowanego użytkownika, który otworzy edytowany wpis lub przegląd grupy. Uwierzytelniony atakujący z dostępem do portalu może w ten sposób uruchomić skrypt w sesji innych użytkowników portalu. Podatna jest wersja 7.0.8.6, najnowsza dostępna w momencie testów; dostawca nie podał informacji o innych podatnych wersjach.
Oryginalny opis (angielski, źródło NVD)
The "ASMobile" web interface, which is part of the VertiGIS software package "GIS Portal", allows authenticated users to define a business reference. JavaScript code can be inserted into this field. On its own this only affects the user who entered it (self-XSS). However, the business reference is included in the order details when the user places an order through the web interface. The order is later listed in the OrderAdministration portal (AuftragsManager) of VertiGIS WebOrderSystem, where the stored code is executed as soon as a highly privileged user opens the order. Version 7.0.8.6 of WebOrderSystem, the latest available at the time of testing, is affected. The vendor did not provide information about further affected versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS