CVE-2025-15479

ŚrednieCVSS 5.4

Opublikowano: 07/01/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W Data Illusion Zumbrunn NGSurvey Enterprise Edition 3.6.4 występuje podatność na przechowywany XSS (CWE-79) w funkcjach tworzenia i administrowania ankietami. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia lub edycji ankiet mogą wykonywać dowolny JavaScript w przeglądarkach innych użytkowników, kraść dane sesji i wykonywać nieautoryzowane działania.

Ocena ryzyka

Atakujący może przejąć sesje użytkowników i wykonywać działania w ich imieniu, co może prowadzić do naruszenia integralności danych i prywatności.

Rekomendacja

Należy zaktualizować NGSurvey do wersji, która zapewnia odpowiednie kodowanie wyjściowe, oraz ograniczyć uprawnienia do tworzenia ankiet.

Inne podatności w NGSurvey

CVE-2025-13829Wysokie
Podatność nieprawidłowej autoryzacji w Data Illusion Zumbrunn NGSurvey umożliwia każdemu zalogowanemu użytkownikowi uzyskanie prywatnych informacji innych użytkowników. Krytyczne informacje obejmują: APIKEY (sesja użytkownika na 1 rok), RefreshToken (sesja użytkownika na 10 minut), hasła zahaszowane bcrypt, adres IP, e-mail i pełne imię i nazwisko.

Oryginalny opis (angielski, źródło NVD)

Stored cross-site scripting (XSS, CWE-79) in the survey content and administration functionality in Data Illusion Zumbrunn NGSurvey Enterprise Edition 3.6.4 on all supported platforms ( on Windows and Linux servers ) allows authenticated remote users with survey creation or edit privileges to execute arbitrary JavaScript in other users’ browsers, steal session information and perform unauthorized actions on their behalf via crafted survey content that is rendered without proper output encoding.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS