CVE-2026-6990
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W projekcie projeto-siga siga w wersji 11.0.3.18 wykryto podatność cross-site scripting w nieznanej funkcji pliku /sigawf/app/responsavel/novo. Manipulacja argumentem Nome/Descrição prowadzi do wstrzyknięcia skryptu. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika systemu, co może skutkować kradzieżą sesji lub danych. Projekt nie odpowiedział na zgłoszenie, więc poprawka może nie być dostępna.
Rekomendacja
Wdróż walidację i kodowanie danych wejściowych w formularzach, ogranicz dostęp do aplikacji oraz monitoruj próby XSS. Śledź informacje od projektu o ewentualnej łatce.
Inne podatności w projeto-siga siga
Zobacz wszystkie- CVE-2026-86274Średnie
W projekcie projeto-siga siga do wersji 11.0.2.10/11.0.2.13/11.1.1 wykryto podatność w funkcji ExAutenticacaoController.autenticar pliku sigaex/src/main/java/br/gov/jfrj/siga/vraptor/ExAutenticacaoController.java w komponencie Authentication Flow. Manipulacja argumentami cod/jwt prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86273Wysokie
W projekcie projeto-siga siga do wersji 11.1.1 wykryto słabość w funkcji DownloadExterno.getUrl w komponencie HTML-to-PDF Endpoint. Manipulacja argumentem html prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in projeto-siga siga 11.0.3.18. The affected element is an unknown function of the file /sigawf/app/responsavel/novo. Performing a manipulation of the argument Nome/Descrição results in cross site scripting. The attack can be initiated remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS