CVE-2026-73262
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Prowler przed wersją 5.37.0 formatter HTML w prowler/lib/outputs/html/html.py wstawiał finding.resource_tags do raportów bez escapowania HTML. Osoba z uprawnieniami do modyfikacji tagów zasobów może przechowywać HTML lub JavaScript, który wykona się, gdy inny użytkownik otworzy raport.
Ocena ryzyka
Ryzyko ataku XSS (Cross-Site Scripting) na użytkowników raportów. Może to prowadzić do kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary.
Rekomendacja
Zaktualizuj Prowler do wersji 5.37.0 lub nowszej, która zawiera poprawkę. Upewnij się, że wszystkie dane wyjściowe HTML są odpowiednio escapowane.
Oryginalny opis (angielski, źródło NVD)
Prowler is a cloud security platform. Prior to 5.37.0, Prowler's HTML output formatter in prowler/lib/outputs/html/html.py inserted finding.resource_tags, assembled by unroll_dict and parse_html_string, into generated reports without HTML escaping, allowing a cloud principal who can modify a scanned resource tag to store HTML or JavaScript that executes when another user opens the report. This issue is fixed in version 5.37.0.