CVE-2026-94211
NiskieCVSS 2.4Streszczenie
Podatność w Hyve5 Leantime do wersji 3.9.8 dotyczy nieznanej funkcjonalności pliku /app/Domain/Dashboard/Templates/show.blade.php w komponencie Project Dashboard. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być użyty. Wymagane jest uprawnienie "EDIT perm" do umieszczenia ładunku; atak działa na wszystkich użytkowników przeglądających pulpit projektu, ponieważ zatruta nazwa etykiety jest wyświetlana bez escapowania. Dostawca został wcześnie powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Atakujący z uprawnieniami edycji może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach innych użytkowników przeglądających pulpit projektu, prowadząc do kradzieży sesji lub innych działań w kontekście ofiary.
Rekomendacja
Zaktualizuj Leantime do wersji nowszej niż 3.9.8, gdy tylko poprawka będzie dostępna, oraz escapuj dane wyjściowe nazw etykiet w szablonach pulpitu.
Inne podatności w Hyve5 Leantime
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Hyve5 Leantime up to 3.9.8. Affected by this issue is some unknown functionality of the file /app/Domain/Dashboard/Templates/show.blade.php of the component Project Dashboard. Such manipulation leads to cross site scripting. The attack may be performed from remote. The exploit has been disclosed to the public and may be used. "EDIT perm" needed to plant; fires cross-user for anyone viewing the project dashboard since the poisoned label name is echoed raw. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS