CVE-2026-71189
NiskieCVSS 3.5Streszczenie
Atakujący może skonstruować żądanie, które po wysłaniu przez innego użytkownika aplikacji spowoduje wykonanie kodu JavaScript dostarczonego przez atakującego w przeglądarce użytkownika w kontekście jego sesji. Jest to klasyczna podatność typu cross-site scripting (XSS).
Ocena ryzyka
Umożliwia atakującemu wykonanie dowolnego kodu JavaScript w sesji ofiary, co może prowadzić do kradzieży ciasteczek sesyjnych, przejęcia konta lub modyfikacji danych. Może to naruszyć poufność i integralność danych użytkowników.
Rekomendacja
Wdróż poprawne kodowanie danych wyjściowych i walidację danych wejściowych, aby zapobiec wstrzykiwaniu skryptów. Rozważ wdrożenie polityki Content Security Policy (CSP) oraz aktualizację aplikacji do wersji z poprawką.
Inne podatności w Web Application
Zobacz wszystkie- CVE-2026-71302Wysokie
Aplikacja akceptuje identyfikatory sesji dostarczone przez użytkownika i nie regeneruje identyfikatora sesji po uwierzytelnieniu. Pozwala to atakującemu na wstępne zdefiniowanie identyfikatora sesji i ponowne użycie go po uwierzytelnieniu ofiary, co prowadzi do przejęcia sesji.
- CVE-2026-69662Niskie
Aplikacja używa niebezpiecznych funkcji, które umożliwiają wykonywanie skryptów inline oraz funkcji ewaluacji ciągów znaków. Może to prowadzić do wykonania niezaufanego kodu JavaScript.
- CVE-2026-48999Średnie
Atakujący wstrzykują złośliwe skrypty (np. JavaScript) do systemu docelowego. Gdy inni użytkownicy odwiedzają zainfekowane strony, skrypty wykonują się w ich przeglądarkach, umożliwiając kradzież ciasteczek, przejęcie sesji i modyfikację treści.
- CVE-2025-41716Średnie
Aplikacja internetowa pozwala niezautoryzowanemu zdalnemu atakującemu poznać informacje o istniejących kontach użytkowników wraz z ich rolami z powodu braku uwierzytelnienia dla krytycznej funkcji.
Oryginalny opis (angielski, źródło NVD)
An attacker can construct a request that, if issued by another application user, will cause JavaScript code supplied by the attacker to execute within the user's browser in the context of that user's session with the application.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS