CVE-2026-53472
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wada w migration-planner. Niewystarczająca walidacja pola AgentStatusUpdate.CredentialUrl pozwala uwierzytelnionemu atakującemu przechowywać złośliwy adres URL javascript:. Gdy ofiara wyświetli ten adres w Hybrid Cloud Console, może to prowadzić do Cross-Site Scripting (XSS), umożliwiając wykonanie skryptu w sesji ofiary i potencjalne ujawnienie wrażliwych informacji.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkownika, kradzież danych i nieautoryzowane działania w kontekście ofiary.
Rekomendacja
Zaleca się aktualizację migration-planner do wersji z poprawką oraz walidację i sanityzację pól URL przed ich zapisaniem i wyświetleniem.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in migration-planner. Insufficient validation of the `AgentStatusUpdate.CredentialUrl` field allows an authenticated attacker to store a malicious `javascript:` URL. When a victim views this URL in the Hybrid Cloud Console, it can lead to Cross-Site Scripting (XSS), enabling script execution in the victim's session and potentially disclosing sensitive information.