CVE-2026-72743
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
SQLBot do wersji 1.10.0 zawiera podatność na trwały skrypt XSS w komponencie SQText, który renderuje dane TinyMCE przez v-html bez sanityzacji. Atakujący, którzy mogą modyfikować treść widżetu tekstowego, mogą wstrzyknąć dowolny HTML i JavaScript, który wykona się dla wszystkich użytkowników przeglądających dashboard.
Ocena ryzyka
Ryzyko kradzieży sesji, przejęcia kont użytkowników i rozprzestrzeniania złośliwego kodu w organizacji.
Rekomendacja
Zaktualizuj SQLBot do wersji zawierającej poprawkę (commit c3f40a5) i zastosuj sanityzację danych przed renderowaniem przez v-html.
Oryginalny opis (angielski, źródło NVD)
SQLBot through 1.10.0, fixed in commit c3f40a5, contains a stored cross-site scripting vulnerability in the SQText dashboard component that renders TinyMCE output via v-html without sanitization. Attackers who can modify dashboard text widget content can inject arbitrary HTML and JavaScript that executes for all users viewing the dashboard.