CVE-2026-72570

ŚrednieCVSS 5.4

Opublikowano: 10/08/2026(UTC)Zaktualizowano: 10/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Podatność na trwały XSS w directory-serve do wersji 1.3.7. Atakujący może wstrzyknąć dowolny JavaScript do interfejsu webowego poprzez przesłanie pliku z nazwą zawierającą znaki łamiące atrybuty HTML.

Ocena ryzyka

Możliwość wykonania skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub przejęcia konta.

Rekomendacja

Zaktualizuj directory-serve do najnowszej wersji lub sanitizuj nazwy plików przed wyświetleniem.

Oryginalny opis (angielski, źródło NVD)

A stored cross-site scripting (XSS) vulnerability in cube-root/directory-serve through 1.3.7 allows an attacker to inject arbitrary JavaScript into the web interface by uploading a file with a crafted filename containing HTML attribute-breaking characters.