CVE-2026-94387
ŚrednieCVSS 5.4Streszczenie
Aureus ERP w wersjach przed 1.6.0 zawiera podatność typu stored cross-site scripting w logu zmian pola Chatter, gdzie wpisy old_value i new_value są renderowane bez prawidłowego escapowania. Każdy użytkownik uprawniony do edycji śledzonych pól tekstowych może wstrzyknąć złośliwy markup, który wykona się, gdy inni użytkownicy, w tym administratorzy, wyświetlą panel Chatter rekordu.
Ocena ryzyka
Złośliwy markup wstrzyknięty przez użytkownika z prawem edycji może wykonać się w przeglądarce innych użytkowników, w tym administratorów, co może prowadzić do przejęcia sesji lub wykonania nieautoryzowanych działań. Podatność wymaga uprawnień do edycji śledzonych pól tekstowych.
Rekomendacja
Zaktualizuj Aureus ERP do wersji 1.6.0 lub nowszej. Do czasu aktualizacji ogranicz prawo edycji śledzonych pól tekstowych do zaufanych użytkowników.
Inne podatności w Aureus ERP
Zobacz wszystkie- CVE-2026-95655Wysokie
Aureus ERP przed wersją 1.5.0 nie ogranicza wyszukiwania wiadomości do bieżącego rekordu w ChatterPanel, umożliwiając uwierzytelnionym użytkownikom dostęp do dowolnych wiadomości. Atakujący mogą podawać kolejne identyfikatory wiadomości, aby czytać, edytować, usuwać lub przypinać wiadomości z innych działów lub firm oraz wyliczać wszystkie notatki w systemie.
- CVE-2026-93454Średnie
Aureus ERP do wersji 1.6.0 przechowuje pole notatki warunków płatności bez sanityzacji i renderuje je jako surowy HTML we wtyczce Księgowość. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia warunków płatności mogą przesłać dowolny kod JavaScript do punktu końcowego payment-terms, który jest zapisywany w bazie danych i wykonywany w przeglądarkach wszystkich użytkowników przeglądających ten rekord.
Oryginalny opis (angielski, źródło NVD)
Aureus ERP before 1.6.0 contains a stored cross-site scripting vulnerability in the Chatter field-change log where old_value and new_value entries are rendered without proper escaping. Any user permitted to edit tracked text fields can inject malicious markup that executes when other users, including administrators, view the record's Chatter panel.