CVE-2018-10228
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W LimeSurvey 3.6.2+180406 odkryto podatność na atak XSS w skrypcie theme.php. Atakujący może wstrzyknąć dowolny kod JavaScript lub HTML poprzez parametr changes_cp w żądaniu do URI index.php/admin/themes/sa/templatesavechanges.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce administratora, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji ustawień systemu.
Rekomendacja
Należy natychmiast zaktualizować LimeSurvey do najnowszej wersji, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo warto wdrożyć filtrowanie danych wejściowych oraz stosować nagłówki Content-Security-Policy.
Inne podatności w LimeSurvey
Zobacz wszystkie- CVE-2025-56422Krytyczne
Podatność deserializacji w LimeSurvey przed wersją 6.15.0+250623 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze.
- CVE-2026-102626Wysokie
Zautentykowany użytkownik LimeSurvey Community Edition 7.4.0 z globalnym uprawnieniem Surveys: create może przechowywać wartość łamiącą JavaScript w atrybucie date_min pytania typu Data/Czas. Gdy inny użytkownik renderuje to pytanie, LimeSurvey wstawia zapisaną wartość do literału JavaScript w pojedynczych cudzysłowach bez kodowania kontekstu JavaScript.
- CVE-2026-97685Wysokie
W LimeSurvey Community Edition 7.3.0 uwierzytelniony użytkownik z uprawnieniem do tworzenia ankiet może użyć własnej ankiety jako autoryzowanego kontekstu, podając identyfikatory pytań lub odpowiedzi należące do ankiety innego użytkownika. Endpoint REST sprawdza uprawnienia względem ID ankiety z URL, ale operacje zapisu rozwiązują obiekt docelowy po globalnym qid lub aid bez weryfikacji przynależności do autoryzowanej ankiety.
- CVE-2026-92730Wysokie
LimeSurvey Community Edition 7.0.14 zawiera podatność na odbity atak XSS na stronie wyników importu CSV uczestników ankiety w panelu administracyjnym.
- CVE-2026-91775Wysokie
LimeSurvey Community Edition 7.0.14 niebezpiecznie koduje treści sterowane przez atakującego z przygotowanego pliku ankiety .lss podczas wyświetlania ostrzeżeń o imporcie, co prowadzi do XSS w interfejsie administracyjnym.
- CVE-2026-65931Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na nieprawidłową autoryzację w punkcie końcowym tworzenia wpisów menu ankiety. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu ustawień globalnych może bezpośrednio wywołać POST /index.php/admin/menuentries/sa/create i tworzyć nowe wpisy menu bez wymaganego uprawnienia settings:update. Atakujący może również przesłać identyfikatory menu, które normalny interfejs ogranicza dla nie-superadministratorów, co umożliwia nieautoryzowane zmiany w rekordach nawigacji administracyjnej.
- CVE-2026-65930Średnie
LimeSurvey Community Edition 7.0.5 zawiera podatność na przechowywany atak XSS w oknie dialogowym pól zastępczych używanym przez administratora edytora pytań. Problem dotyczy wersji 7.0.5.
- CVE-2026-63360Wysokie
LimeSurvey Community Edition 7.0.5+260623 zawiera uwierzytelnioną, odbitą podatność Cross-Site Scripting w punkcie końcowym potwierdzania aktywacji użytkownika. Parametr 'action' jest kopiowany do odpowiedzi i wstawiany do atrybutu ukrytego pola bez kodowania atrybutów HTML.
- CVE-2026-16809Wysokie
LimeSurvey Community Edition 7.0.5 zawiera podatność na trwałe Cross-Site Scripting w procesie tworzenia kwot w ankiecie. Uwierzytelniony użytkownik o niskich uprawnieniach, który może tworzyć i zarządzać własnymi ankietami, może przechowywać złośliwy JavaScript w wiadomości kwoty.
- CVE-2026-15973Wysokie
LimeSurvey Community Edition 7.0.5 zawiera podatność na trwały cross-site scripting (XSS) w panelu administracyjnym Survey Menu Entries. Uwierzytelniony użytkownik z uprawnieniem global settings:read może utworzyć wpis menu ankiety zawierający dane kontrolowane przez atakującego. Wartość jest przechowywana w polu surveymenu_entries.data i później wstawiana do atrybutu title w pojedynczych cudzysłowach bez odpowiedniego kodowania.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in /application/controller/admin/theme.php in LimeSurvey 3.6.2+180406 allows remote attackers to inject arbitrary web script or HTML via the changes_cp parameter to the index.php/admin/themes/sa/templatesavechanges URI.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS