CVE-2026-91922

ŚrednieCVSS 6.1

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Steedos Platform do wersji 3.0.15-beta.47 zawiera podatność na odbite XSS w anonimowym punkcie końcowym /api/page/render, który nieprawidłowo escapuje parametry zapytania w elementach skryptu inline. Atakujący mogą tworzyć złośliwe linki z sekwencjami kończącymi skrypt w parametrach schemaApi lub data, aby wykonać dowolny JavaScript w sesjach ofiar i ukraść poświadczenia X-Auth-Token.

Ocena ryzyka

Odbity XSS umożliwia kradzież tokenów uwierzytelniających i przejęcie sesji użytkowników. Może prowadzić do nieautoryzowanego dostępu do platformy i eskalacji uprawnień.

Rekomendacja

Zaktualizuj Steedos Platform do wersji nowszej niż 3.0.15-beta.47, która naprawia escapowanie parametrów. Wdróż nagłówki CSP i walidację danych wejściowych w punkcie końcowym /api/page/render.

Inne podatności w Steedos Platform

CVE-2026-111666Średnie
Steedos Platform do wersji 3.0.15-beta.51 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać definicje raportów innych najemców poprzez odpytywanie obiektu reports. Ponieważ callAdapter w objectql pomija filtrowanie przestrzeni dla obiektów enable_space_global przy find/findOne, atakujący może wywołać GET /api/v1/reports, aby ujawnić nazwy raportów, opisy oraz nazwy API obiektów i pól.

Oryginalny opis (angielski, źródło NVD)

Steedos Platform through 3.0.15-beta.47 contains a reflected cross-site scripting vulnerability in the anonymous /api/page/render endpoint that fails to properly escape query parameters in inline script elements. Attackers can craft malicious links with script-terminating sequences in the schemaApi or data parameters to execute arbitrary JavaScript in victim sessions and steal X-Auth-Token credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS