CVE-2026-73192
NieznaneStreszczenie
Podatność typu reflected cross-site scripting (CWE-79) w bibliotece Apache Sling XSS w wersji 2.4.10 i wcześniejszych, wynikająca z niewłaściwej neutralizacji danych wejściowych w metodzie XSSAPI.getValidHref(). Atakujący może wstrzyknąć niesanityzowaną wartość, co pozwala na wykonanie skryptu w przeglądarce ofiary w każdej funkcji korzystającej z tej metody.
Ocena ryzyka
Umożliwia atakującemu wykonanie dowolnego kodu JavaScript w kontekście przeglądarki użytkownika aplikacji, co może prowadzić do kradzieży sesji, danych uwierzytelniających lub modyfikacji treści strony.
Rekomendacja
Zaktualizuj bibliotekę Apache Sling XSS do wersji 2.4.12 lub nowszej.
Inne podatności w Apache Sling XSS
Zobacz wszystkie- CVE-2026-92001Nieznane
Podatność polegająca na nieprawidłowym ograniczeniu rekurencyjnych odwołań do encji w DTD (ekspansja encji XML) w Apache Sling XSS. Problem dotyczy wersji przed 2.4.12. Zalecane jest uaktualnienie do wersji 2.4.12, która naprawia problem.
- CVE-2026-91999Nieznane
Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w Apache Sling XSS. Problem dotyczy wersji przed 2.4.12. Zalecane jest uaktualnienie do wersji 2.4.12, która naprawia problem.
- CVE-2026-91928Nieznane
Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w Apache Sling XSS. Problem dotyczy wersji przed 2.4.12. Zalecane jest uaktualnienie do wersji 2.4.12, która naprawia problem.
- CVE-2026-91852Nieznane
Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (cross-site scripting) w Apache Sling XSS. Problem dotyczy wersji przed 2.4.12. Zalecane jest uaktualnienie do wersji 2.4.12, która naprawia problem.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of input during web page generation ('Cross-site Scripting') [CWE-79] vulnerability when using the XSSAPI.getValidHref() in Apache Sling XSS version 2.4.10 and prior may allow an attacker to perform a reflected cross-site scripting (XSS) attack in every feature using this method. In order to successfully attack an application, the attacker needs to be able to submit a value which is not correctly sanitized by that library. Upgrade to Apache Sling XSS >= 2.4.12