CVE-2026-6953
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 — wyżej niż 28% wszystkich znanych CVE
Streszczenie
W CMS WebControl v3.5 firmy Intermark IT wykryto podatność na wstrzykiwanie kodu HTML. Atakujący może wysłać ofierze wiadomość e-mail zawierającą złośliwy kod HTML za pomocą formularza kontaktowego. Wykorzystanie podatności wymaga wysłania żądania z parametrami 'nombreApellidos', 'dirección' i 'comentarios' do '/processContact.do'.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku phishingowego lub kradzieży danych uwierzytelniających poprzez osadzenie złośliwego kodu HTML w wiadomości e-mail wysłanej z zaufanego systemu CMS.
Rekomendacja
Należy natychmiast zaktualizować CMS WebControl do najnowszej wersji oraz zastosować filtrowanie wejściowe i kodowanie wyjściowe dla wszystkich parametrów formularza kontaktowego.
Oryginalny opis (angielski, źródło NVD)
HTML injection vulnerability in Intermark IT's WebControl CMS v3.5. This vulnerability allows an attacker to send an email containing malicious HTML code to a victim via the contact form. To exploit this vulnerability, the attacker must send a request using the 'nombreApellidos', 'dirección ', and 'comentarios ' parameters to '/processContact.do'.