CVE-2026-5696
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Odzwierciedlony Cross-Site Scripting (XSS) w Microweber. Podatność leży w parametrze 'group' w punkcie końcowym '/admin/settings' w panelu administracyjnym. Udany atak pozwala atakującemu nakłonić uwierzytelnionego użytkownika do wykonania złośliwego kodu JavaScript w jego przeglądarce.
Ocena ryzyka
Atakujący może wykonywać działania bez zgody ofiary, kraść poufne informacje lub przejąć sesję użytkownika, co może prowadzić do naruszenia bezpieczeństwa konta i danych.
Rekomendacja
Zaktualizuj Microweber do najnowszej wersji zawierającej poprawkę zabezpieczającą przed XSS oraz rozważ walidację i sanityzację parametrów wejściowych.
Inne podatności w Microweber
Zobacz wszystkie- CVE-2026-12198Wysokie
W Microweber do wersji 2.0.20 stwierdzono podatność path traversal w funkcji userfiles_path pliku /api_nosession/thumbnail_img komponentu API Endpoint poprzez manipulację argumentem cache_path_relative. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2024-40101Średnie
W Microweber 2.0.15 i wcześniejszych wersjach wykryto podatność na odbity atak XSS w ścieżce '/search'. Niezautoryzowany atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr 'keywords'.
- CVE-2020-23136Średnie
Podatność w Microweber v1.1.18 powoduje, że sesja użytkownika nie wygasa po wylogowaniu. Oznacza to, że atakujący może wykorzystać ważną sesję do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
Reflected Cross-Site Scripting (XSS) in Microweber. The vulnerability lies in the ‘group’ parameter of the ‘/admin/settings’ endpoint in the administration panel. A successful exploit allows an attacker to trick an authenticated user into executing malicious JavaScript code in their browser. This enables the attacker to perform actions without the victim’s consent, steal confidential information or hijack the user’s session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS