CVE-2026-75170

ŚrednieCVSS 6.1

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Podatność XSS w punkcie końcowym /loginController/doLogin platformy HubCore (wersja 14.1.1) pozwala zdalnemu nieuwierzytelnionemu atakującemu wstrzyknąć dowolny JavaScript do odpowiedzi aplikacji poprzez parametr language POST.

Ocena ryzyka

Atakujący może wykonać skrypty w przeglądarce ofiary, co może prowadzić do kradzieży danych uwierzytelniających, przejęcia sesji lub innych szkodliwych działań. Podatność może być wykorzystana w atakach phishingowych.

Rekomendacja

Zaleca się aktualizację HubCore do wersji z poprawką walidacji parametru language. Należy również zastosować kodowanie wyjścia i filtrowanie wejść.

Inne podatności w HubCore

CVE-2026-75171Krytyczne
W HubCore v.14.1.1 występuje problem umożliwiający zdalnemu atakującemu eskalację uprawnień poprzez komponent obsługi ciasteczek sesyjnych HUBCOREID.

Oryginalny opis (angielski, źródło NVD)

Cross-site scripting (XSS) vulnerability in the /loginController/doLogin endpoint of the HubCore platform (version 14.1.1) allows a remote unauthenticated attacker to inject arbitrary JavaScript into the application's response via the language POST parameter.