CVE-2026-4972

NiskieCVSS 2.4

Opublikowano: 27/03/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wykryto podatność typu cross-site scripting (XSS) w systemie Online Reviewer System w wersji do 1.0. Manipulacja argumentem Description w pliku /system/system/students/assessments/databank/btn_functions.php pozwala na zdalne przeprowadzenie ataku, a publiczny exploit jest już dostępny.

Ocena ryzyka

Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, przejąć sesję lub wykonać działania w jej imieniu; publiczna dostępność exploitu zwiększa ryzyko wykorzystania.

Rekomendacja

Wprowadź walidację i kodowanie danych wejściowych dla argumentu Description oraz rozważ wdrożenie poprawek lub ograniczenie dostępu do aplikacji do czasu ich udostępnienia.

Inne podatności w Online Reviewer System

CVE-2026-108948Średnie
Podatność w Online Reviewer System (code-projects) w wersji 1.0. Nieznany kod w pliku /reviewer/system/system/admins/manage/users/btn_functions.php komponentu User Profile Update Handler ma problem z argumentem usertype_id, co prowadzi do dynamicznie określanych atrybutów obiektów. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in code-projects Online Reviewer System up to 1.0. Affected is an unknown function of the file /system/system/students/assessments/databank/btn_functions.php. Such manipulation of the argument Description leads to cross site scripting. The attack may be performed from remote. The exploit has been disclosed publicly and may be used.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS