CVE-2026-6086
ŚrednieCVSS 5.1Streszczenie
Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/serial-number-types', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.
Ocena ryzyka
Uwierzytelniony atakujący może zdalnie wykonać dowolny kod JavaScript w przeglądarce innych użytkowników panelu, co może prowadzić do kradzieży sesji, danych lub przejęcia konta. Może to naruszyć bezpieczeństwo całego systemu zarządzania.
Rekomendacja
Zaktualizuj StockAgile do wersji zawierającej poprawkę lub wdróż odpowiednie filtrowanie i walidację danych wejściowych w punkcie końcowym '/inventory/configuration/serial-number-types'. Dodatkowo rozważ wdrożenie nagłówków Content Security Policy.
Inne podatności w StockAgile
Zobacz wszystkie- CVE-2026-6088Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/categories', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.
- CVE-2026-6087Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/categories', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.
- CVE-2026-6085Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/serial-number-types', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.
- CVE-2026-6084Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/variants', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.
- CVE-2026-6083Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/pricing-tiers', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.
- CVE-2026-6082Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/payment-methods', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.
Oryginalny opis (angielski, źródło NVD)
Stored Cross-Site Scripting (XSS) vulnerability in StockAgile API and management panel. The vulnerability is present on the server side in REST endpoint '/inventory/configuration/serial-number-types' that allow the injection and persistence of malicious JavaScript code through parameters such as ‘code’, ‘name’, and other text fields. The scripts that are entered are not filtered or validated correctly before being displayed on the web panel that authenticated users can access. Exploiting this vulnerability could allow a remote, previously authenticated attacker to execute arbitrary JavaScript code.