CVE-2026-90528
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wykryto lukę w TDuckApp tduck-platform w wersjach do 5.3. Dotyczy ona nieznanej funkcjonalności w pliku tduck-front/src/views/form/write/index.vue komponentu Form Write View i manipulacji argumentem submitShowCustomPageContent, co prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Podatność XSS w widoku formularza może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, co grozi kradzieżą danych lub sesji. Brak reakcji projektu na zgłoszenie zwiększa ryzyko pozostawienia systemu bez poprawki.
Rekomendacja
Zaktualizuj tduck-platform do wersji nowszej niż 5.3, jeśli dostępna jest poprawka, lub zastosuj środki zaradcze po stronie konfiguracji. Monitoruj komunikaty producenta i rozważ ograniczenie ekspozycji aplikacji na internet.
Inne podatności w tduck-platform
Zobacz wszystkie- CVE-2026-95829Średnie
W produkcie TDuckCloud tduck-platform do wersji 5.3 wykryto podatność typu SQL injection w funkcji PaginationInnerInterceptor.concatOrderBy w pliku MybatisPlusConfig.java. Manipulacja argumentem orders[0].column pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2023-37733Średnie
W tduck-platform v4.0 wykryto podatność polegającą na dowolnym przesyłaniu plików. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku HTML.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in TDuckApp tduck-platform up to 5.3. Affected by this vulnerability is an unknown functionality of the file tduck-front/src/views/form/write/index.vue of the component Form Write View. This manipulation of the argument submitShowCustomPageContent causes cross site scripting. The attack is possible to be carried out remotely. The project was informed of the problem early through an issue report but has not responded yet.