CVE-2026-85406
NiskieCVSS 3.5Streszczenie
Podatność w Eleveo Quality Management 9.7.0 dotyczy nieznanego kodu komponentu Conversation Review. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków na użytkowników systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie dostępnych poprawek lub obejść, a także ograniczenie dostępu do komponentu Conversation Review do zaufanych użytkowników.
Inne podatności w Eleveo Quality Management
Zobacz wszystkie- CVE-2026-85409Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność path traversal w funkcji QuestionnaireService.runDataExportNow komponentu Questionnaire Service. Manipulacja argumentem file_name umożliwia zdalny atak. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-85408Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność w komponencie Conversation Handler, w pliku /enc-fwk-data/api/v3/conversations/<ID>/events. Manipulacja argumentem createdBy powoduje dynamicznie określane atrybuty obiektów, co umożliwia zdalny atak. Exploit jest publiczny, a producent nie odpowiedział.
- CVE-2026-85407Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność w komponencie Conversation Handler, w pliku /enc-fwk-data/api/v3/conversations/<ID>/events. Manipulacja argumentem labels prowadzi do odmowy usługi (DoS). Atak może być wykonany zdalnie. Exploit jest publiczny, a producent nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Eleveo Quality Management 9.7.0. This vulnerability affects unknown code of the component Conversation Review. The manipulation leads to cross site scripting. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.