CVE-2026-7176
ŚrednieCVSS 4.8Streszczenie
CVE-2026-7176: parametry Help text i Title w punkcie końcowym /events/<event_name>-<event_city>/custom_form/edit podczas procesu tworzenia lub modyfikowania formularzy związanych ze sprzedażą biletów na wydarzenie, co pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie zakupu biletów dla wydarzenia.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się na publicznej stronie sprzedaży biletów, co może prowadzić do kradzieży danych klientów lub manipulacji procesem zakupu.
Rekomendacja
Zastosuj odpowiednią sanityzację i escape'owanie danych wejściowych w parametrach Help text i Title oraz ogranicz dostęp do edycji formularzy tylko dla zaufanych użytkowników.
Inne podatności w Entradium
Zobacz wszystkie- CVE-2026-7175Średnie
CVE-2026-7175: parametr Business Name w punkcie końcowym /promoters/edit w sekcji My Profile profilu promotora, co pozwala na wstrzyknięcie kodu JavaScript, który wykona się na publicznej stronie promotora.
- CVE-2026-7174Średnie
CVE-2026-7174: Podatność Stored Cross-Site Scripting w Entradium, autorstwa Crocantickets. Dotyczy parametrów Name i Field w punkcie końcowym /tools/discount_wizard/discount_config podczas procesu tworzenia zniżek przypisanych do wydarzenia. Podatność pozwala na wstrzyknięcie kodu JavaScript do dotkniętych parametrów, który wykonuje się podczas wyświetlania listy zniżek wydarzenia. Skuteczne wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji.
- CVE-2026-7173Średnie
CVE-2026-7173: Podatność Cross-Site Scripting w Entradium, autorstwa Crocantickets. Wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji. (Stored XSS) Parametr City w punkcie końcowym /events/<event_name>/edit_general podczas procesu tworzenia lub edycji wydarzeń przypisanych do promotora pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie wydarzenia. (Reflected XSS) Parametr Description w punkcie końcowym /events/<event_name>/edit-general podczas próby utworzenia lub modyfikacji wydarzenia bez wypełnienia wszystkich wymaganych pól.
Oryginalny opis (angielski, źródło NVD)
CVE-2026-7176: the Help text and Title parameters in the endpoint /events/<event_name>-<event_city>/custom_form/edit during the process of creating or modifying forms associated with ticket sales for an event, which allows for the injection of JavaScript that will execute on the public ticket purchase page for the event.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS