CVE-2026-7174
ŚrednieCVSS 4.8Streszczenie
CVE-2026-7174: Podatność Stored Cross-Site Scripting w Entradium, autorstwa Crocantickets. Dotyczy parametrów Name i Field w punkcie końcowym /tools/discount_wizard/discount_config podczas procesu tworzenia zniżek przypisanych do wydarzenia. Podatność pozwala na wstrzyknięcie kodu JavaScript do dotkniętych parametrów, który wykonuje się podczas wyświetlania listy zniżek wydarzenia. Skuteczne wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji.
Ocena ryzyka
Atakujący może ukraść dane sesji użytkowników, co może prowadzić do przejęcia kont i nieautoryzowanego dostępu do danych.
Rekomendacja
Zastosuj odpowiednią sanityzację i escape'owanie danych wejściowych w parametrach Name i Field oraz ogranicz dostęp do kreatora zniżek tylko dla zaufanych użytkowników.
Inne podatności w Entradium
Zobacz wszystkie- CVE-2026-7176Średnie
CVE-2026-7176: parametry Help text i Title w punkcie końcowym /events/<event_name>-<event_city>/custom_form/edit podczas procesu tworzenia lub modyfikowania formularzy związanych ze sprzedażą biletów na wydarzenie, co pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie zakupu biletów dla wydarzenia.
- CVE-2026-7175Średnie
CVE-2026-7175: parametr Business Name w punkcie końcowym /promoters/edit w sekcji My Profile profilu promotora, co pozwala na wstrzyknięcie kodu JavaScript, który wykona się na publicznej stronie promotora.
- CVE-2026-7173Średnie
CVE-2026-7173: Podatność Cross-Site Scripting w Entradium, autorstwa Crocantickets. Wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji. (Stored XSS) Parametr City w punkcie końcowym /events/<event_name>/edit_general podczas procesu tworzenia lub edycji wydarzeń przypisanych do promotora pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie wydarzenia. (Reflected XSS) Parametr Description w punkcie końcowym /events/<event_name>/edit-general podczas próby utworzenia lub modyfikacji wydarzenia bez wypełnienia wszystkich wymaganych pól.
Oryginalny opis (angielski, źródło NVD)
CVE-2026-7174: Stored Cross-Site Scripting vulnerability in Entradium, by Crocantickets. Specifically, in the Name and Field parameters of the endpoint /tools/discount_wizard/discount_config during the process of creating discounts assigned to an event. This vulnerability allows JavaScript code to be injected into the affected parameters, which executes when an event’s discount list page is displayed. Successful exploitation of this vulnerability could allow a remote attacker to send a specially crafted URL to the victim and steal their session data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS