CVE-2026-53992
ŚrednieCVSS 6.1Streszczenie
ProjectSend r2029 zawiera odzwierciedloną podatność XSS w thumbnails-regenerate.php, która pozwala zdalnym atakującym na wstrzyknięcie dowolnego HTML i JavaScript poprzez podanie niesanityzowanych wartości w parametrach GET start_date i end_date, które są echoowane bez escapowania do wartości atrybutów HTML. Atakujący może stworzyć złośliwy URL, który po kliknięciu przez uwierzytelnioną ofiarę z uprawnieniami edit_settings wykonuje wstrzyknięte skrypty w originie aplikacji, co może prowadzić do kradzieży ciasteczek sesji lub nieautoryzowanych działań, w tym zarządzania użytkownikami, plikami i zmianami ustawień aplikacji.
Ocena ryzyka
Uwierzytelniony użytkownik z uprawnieniami edit_settings może paść ofiarą ataku XSS, co może prowadzić do przejęcia sesji, kradzieży danych lub nieautoryzowanych zmian w aplikacji.
Rekomendacja
Zaktualizuj ProjectSend do wersji, w której naprawiono tę podatność, lub zastosuj odpowiednie filtrowanie danych wejściowych.
Inne podatności w ProjectSend
Zobacz wszystkie- CVE-2023-53980Krytyczne
ProjectSend r1605 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na przesyłanie złośliwych plików poprzez manipulowanie rozszerzeniami plików. Atakujący mogą przesyłać skrypty powłoki z zamaskowanymi rozszerzeniami przez endpoint upload.process.php, aby wykonać dowolne polecenia na serwerze.
- CVE-2024-11680KrytyczneAktywnie exploitowane
W ProjectSend w wersjach przed r1720 występuje luka w uwierzytelnianiu. Zdalny, nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP do pliku options.php, co umożliwia nieautoryzowaną modyfikację konfiguracji aplikacji. Skuteczne wykorzystanie luki pozwala na tworzenie kont, wgrywanie webshelli oraz osadzanie złośliwego JavaScript.
- CVE-2021-47947Średnie
Trwały XSS w Projectsend r1295. Uwierzytelnieni atakujący mogą wstrzyknąć złośliwy skrypt przez parametr 'name' w pliku files-edit.php, który wykonuje się u administratorów na Dashboardzie.
- CVE-2026-5624Średnie
Podatność na Cross-Site Request Forgery (CSRF) w ProjectSend r2002 w pliku upload.php. Atak może być przeprowadzony zdalnie. Publicznie dostępny jest exploit.
- CVE-2020-28874Wysokie
Podatność w skrypcie reset-password.php w ProjectSend przed wersją r1295 umożliwia zdalnemu atakującemu zresetowanie hasła użytkownika z powodu błędnej logiki biznesowej. Błędy nie są odpowiednio obsługiwane, w szczególności nieprawidłowy parametr tokena.
Oryginalny opis (angielski, źródło NVD)
ProjectSend r2029 contains a reflected cross-site scripting vulnerability in thumbnails-regenerate.php that allows remote attackers to inject arbitrary HTML and JavaScript by supplying unsanitized values in the start_date and end_date GET parameters, which are echoed unescaped into HTML attribute values. Attackers can craft a malicious URL that, when followed by an authenticated victim with edit_settings permissions, executes injected scripts in the application origin to steal session cookies or perform unauthorized actions including user management, file management, and application settings changes.