CVE-2026-58205
WysokieCVSS 8.1Streszczenie
W aplikacji GRR przed wersją 4.5.0 plik `maj.php` odzwierciedla parametr `forcemaj` bez odpowiedniego escapowania, gdy pliki instalacyjne pozostają dostępne. Usunięcie tych plików nie jest automatyczne. Atakujący może stworzyć URL, który wykonuje dowolny JavaScript w przeglądarce ofiary po jej wejściu na niego.
Ocena ryzyka
Odzwierciedlony XSS może umożliwić phishing, przekierowanie na złośliwe strony, kradzież ciasteczek i przejęcie sesji, ponieważ ciasteczko uwierzytelniające nie ma flagi `HttpOnly`.
Rekomendacja
Zaktualizuj GRR do wersji 4.5.0 lub nowszej, która naprawia tę podatność.
Inne podatności w GRR
Zobacz wszystkie- CVE-2026-58257Wysokie
W aplikacji GRR przed wersją 4.5.0 funkcja przywracania bazy danych nie wymusza ani nie waliduje ścieżek plików. Użytkownik z uprawnieniami administratora może manipulować danymi wejściowymi, aby odczytać lub usunąć dowolne pliki na serwerze, powodując ujawnienie poufnych informacji i odmowę usługi poprzez usunięcie plików.
- CVE-2026-58256Krytyczne
W aplikacji GRR przed wersją 4.5.0 administrator może wstrzyknąć złośliwy kod PHP poprzez parametry konfiguracji łącznika LDAP, takie jak `ldap_filter`, zatruwając plik `/personnalisation/config_ldap.inc.php` i umożliwiając zdalne wykonanie kodu. Wymagane jest wcześniejsze pomyślne połączenie z serwerem LDAP, który może być kontrolowany przez atakującego, a następnie przesłanie złośliwych danych na stronie ustawień łącznika.
Oryginalny opis (angielski, źródło NVD)
GRR is a resource management and reservation application. Prior to version 4.5.0, `maj.php` reflects the `forcemaj` parameter without adequate escaping when installation files remain accessible. Removal of these files is not automatic. An attacker can craft a URL that executes arbitrary JavaScript in a victim's browser when the victim accesses it. This reflected cross-site scripting can enable phishing, redirection to malicious sites, cookie theft and session hijacking because the authentication cookie is not `HttpOnly`. This issue is fixed in version 4.5.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS