CVE-2026-5699
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatny parametr to 'companyName' w endpoincie /empresa.
Ocena ryzyka
Złośliwy skrypt może wykonywać się w przeglądarkach użytkowników przeglądających zainfekowaną stronę, umożliwiając kradzież sesji lub wykonanie akcji w imieniu ofiary. Ryzyko dotyczy użytkowników odwiedzających endpoint /empresa.
Rekomendacja
Zaktualizuj aplikację SABBATIC do wersji z poprawką oraz wdróż walidację wejścia i kodowanie wyjścia dla parametru 'companyName'.
Inne podatności w SABBATIC
Zobacz wszystkie- CVE-2026-5702Średnie
Aplikacja SABBATIC zawiera podatność Cross-Site Request Forgery (CSRF), która pozwala atakującemu nakłonić uwierzytelnionego użytkownika do kliknięcia złośliwego linku lub załadowania strony wysyłającej nieautoryzowane żądania do podatnego endpointu.
- CVE-2026-5700Średnie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatny parametr to 'observaciones' w endpoincie /mis-gastos.
- CVE-2026-5698Średnie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatne parametry to 'titulo_es' oraz 'add_etiquetas[]' w endpoincie /categorías.
- CVE-2026-5697Średnie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatny parametr to 'nombre' w endpoincie /usuario.
Oryginalny opis (angielski, źródło NVD)
Stored Cross-Site Scripting (XSS) vulnerability in SABBATIC application that allows an attacker to store JavaScript code so that when a user views the page, code can be executed in the victim's browser. The list of assigned parameters and identifiers is as follows: parameter 'companyName' in /empresa endpoint;
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS