CVE-2026-52370
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność na odbity atak XSS w funkcji publikowania postów na forum w O2OA v10 umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki ofiary poprzez spreparowany URL.
Ocena ryzyka
Atakujący może wykraść dane sesji, przejąć konto użytkownika lub wykonać nieautoryzowane działania w imieniu ofiary.
Rekomendacja
Zaktualizuj O2OA do najnowszej wersji, która zawiera poprawkę tej podatności, oraz rozważ filtrowanie danych wejściowych.
Inne podatności w O2OA
Zobacz wszystkie- CVE-2022-22916Krytyczne
O2OA w wersji 6.4.7 zawiera podatność zdalnego wykonania kodu (RCE) poprzez endpoint /x_program_center/jaxrs/invoke. Atakujący może wysłać specjalnie spreparowane żądanie, aby wykonać dowolny kod na serwerze.
- CVE-2026-67961Wysokie
Problem w O2OA w wersji 10.0.2 pozwala lokalnemu atakującemu na wykonanie dowolnego kodu poprzez mechanizm piaskownicy w wykonywaniu skryptów Invoke.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability in the Forum posting function of O2OA v10 allows attackers to execute arbitrary Javascript in the context of the victim's browser via a crafted URL.