CVE-2026-63361

WysokieCVSS 8.5

Opublikowano: 14/08/2026(UTC)Zaktualizowano: 14/08/2026(UTC)Przetłumaczono: 15/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

LimeSurvey Community Edition 7.0.5 zawiera uwierzytelnioną, odzwierciedloną podatność na cross-site scripting w punkcie końcowym edytora HTML. Parametry text i name są przepuszczane przez sanityzator czarnej listy, a następnie renderowane bez odpowiedniego kodowania wyjścia zależnego od kontekstu.

Ocena ryzyka

Ryzyko wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub innych ataków.

Rekomendacja

Zaleca się aktualizację LimeSurvey do najnowszej wersji oraz wdrożenie odpowiedniego kodowania wyjścia w aplikacji.

Oryginalny opis (angielski, źródło NVD)

LimeSurvey Community Edition 7.0.5 contains an authenticated reflected cross-site scripting vulnerability in the HTML editor popup endpoint. The text and name query parameters are passed through a blacklist sanitizer and then rendered without context-appropriate output encoding.