CVE-2026-5468
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W systemie Casdoor w wersji 2.356.0 funkcja dangerouslySetInnerHTML jest podatna na atak XSS poprzez manipulację argumentami formCss, formCssMobile lub formSideHtml. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, deface'u lub kradzieży danych uwierzytelniających.
Rekomendacja
Należy natychmiast wyłączyć funkcję dangerouslySetInnerHTML lub zastosować odpowiednie oczyszczanie danych wejściowych, a także monitorować aktualizacje od producenta.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Casdoor 2.356.0. This affects the function dangerouslySetInnerHTML. Performing a manipulation of the argument formCss/formCssMobile/formSideHtml results in cross site scripting. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.