CVE-2026-94210

NiskieCVSS 3.5

Opublikowano: 21/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 21/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

W Hyve5 Leantime do wersji 3.9.8 wykryto lukę w funkcji getAllGrouped w pliku app/Domain/Tickets/Services/Tickets.php w komponencie Kanban Board. Manipulacja powoduje cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być użyty. Nazwa poprawki: a30a6837b4071ac05a4f58d0e1baa2c62aa8695e. Zaleca się wdrożenie poprawki.

Ocena ryzyka

Atakujący może zdalnie wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach użytkowników przeglądających tablicę Kanban, co może prowadzić do kradzieży danych sesji lub innych działań w kontekście ofiary.

Rekomendacja

Wdróż poprawkę o nazwie a30a6837b4071ac05a4f58d0e1baa2c62aa8695e lub zaktualizuj Leantime do wersji zawierającej tę poprawkę.

Inne podatności w Hyve5 Leantime

CVE-2026-94211Niskie
Podatność w Hyve5 Leantime do wersji 3.9.8 dotyczy nieznanej funkcjonalności pliku /app/Domain/Dashboard/Templates/show.blade.php w komponencie Project Dashboard. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty. Wymagane jest uprawnienie "EDIT perm" do umieszczenia ładunku; atak działa na wszystkich użytkowników przeglądających pulpit projektu, ponieważ zatruta nazwa etykiety jest wyświetlana bez escapowania. Dostawca został wcześnie powiadomiony, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in Hyve5 Leantime up to 3.9.8. Affected by this vulnerability is the function getAllGrouped of the file app/Domain/Tickets/Services/Tickets.php of the component Kanban Board. This manipulation causes cross site scripting. The attack is possible to be carried out remotely. The exploit has been published and may be used. Patch name: a30a6837b4071ac05a4f58d0e1baa2c62aa8695e. To fix this issue, it is recommended to deploy a patch.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS