CVE-2026-7173
ŚrednieCVSS 4.8Streszczenie
CVE-2026-7173: Podatność Cross-Site Scripting w Entradium, autorstwa Crocantickets. Wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji. (Stored XSS) Parametr City w punkcie końcowym /events/<event_name>/edit_general podczas procesu tworzenia lub edycji wydarzeń przypisanych do promotora pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie wydarzenia. (Reflected XSS) Parametr Description w punkcie końcowym /events/<event_name>/edit-general podczas próby utworzenia lub modyfikacji wydarzenia bez wypełnienia wszystkich wymaganych pól.
Ocena ryzyka
Atakujący może ukraść dane sesji użytkowników lub wykonać skrypty na publicznych stronach wydarzeń, co może prowadzić do przejęcia kont i naruszenia integralności danych.
Rekomendacja
Zastosuj odpowiednią sanityzację i escape'owanie danych wejściowych w parametrach City i Description oraz ogranicz dostęp do edycji wydarzeń tylko dla zaufanych użytkowników.
Inne podatności w Entradium
Zobacz wszystkie- CVE-2026-7176Średnie
CVE-2026-7176: parametry Help text i Title w punkcie końcowym /events/<event_name>-<event_city>/custom_form/edit podczas procesu tworzenia lub modyfikowania formularzy związanych ze sprzedażą biletów na wydarzenie, co pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie zakupu biletów dla wydarzenia.
- CVE-2026-7175Średnie
CVE-2026-7175: parametr Business Name w punkcie końcowym /promoters/edit w sekcji My Profile profilu promotora, co pozwala na wstrzyknięcie kodu JavaScript, który wykona się na publicznej stronie promotora.
- CVE-2026-7174Średnie
CVE-2026-7174: Podatność Stored Cross-Site Scripting w Entradium, autorstwa Crocantickets. Dotyczy parametrów Name i Field w punkcie końcowym /tools/discount_wizard/discount_config podczas procesu tworzenia zniżek przypisanych do wydarzenia. Podatność pozwala na wstrzyknięcie kodu JavaScript do dotkniętych parametrów, który wykonuje się podczas wyświetlania listy zniżek wydarzenia. Skuteczne wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji.
Oryginalny opis (angielski, źródło NVD)
CVE-2026-7173: Cross-Site Scripting vulnerability in Entradium, by Crocantickets. Exploitation of this vulnerability could allow a remote attacker to send a specially crafted URL to the victim and steal their session data. * (Stored XSS) The City parameter in the endpoint /events/<event_name>/edit_general during the process of creating or editing events assigned to a promoter allows for the injection of JavaScript that will execute on the event’s public page. * (Reflected XSS) The Description parameter in the endpoint /events/<event_name>/edit-general when attempting to create or modify an event without filling in all required fields.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS