Podatności Entradium

CVE-2026-7176: parametry Help text i Title w punkcie końcowym /events/<event_name>-<event_city>/custom_form/edit podczas procesu tworzenia lub modyfikowania formularzy związanych ze sprzedażą biletów na wydarzenie, co pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie zakupu biletów dla wydarzenia.

CVE-2026-7175: parametr Business Name w punkcie końcowym /promoters/edit w sekcji My Profile profilu promotora, co pozwala na wstrzyknięcie kodu JavaScript, który wykona się na publicznej stronie promotora.

CVE-2026-7174: Podatność Stored Cross-Site Scripting w Entradium, autorstwa Crocantickets. Dotyczy parametrów Name i Field w punkcie końcowym /tools/discount_wizard/discount_config podczas procesu tworzenia zniżek przypisanych do wydarzenia. Podatność pozwala na wstrzyknięcie kodu JavaScript do dotkniętych parametrów, który wykonuje się podczas wyświetlania listy zniżek wydarzenia. Skuteczne wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji.

CVE-2026-7173: Podatność Cross-Site Scripting w Entradium, autorstwa Crocantickets. Wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji. (Stored XSS) Parametr City w punkcie końcowym /events/<event_name>/edit_general podczas procesu tworzenia lub edycji wydarzeń przypisanych do promotora pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie wydarzenia. (Reflected XSS) Parametr Description w punkcie końcowym /events/<event_name>/edit-general podczas próby utworzenia lub modyfikacji wydarzenia bez wypełnienia wszystkich wymaganych pól.