CVE-2025-33110
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
IBM OpenPages 9.1 oraz 9.0 z Watson jest podatny na wstrzykiwanie kodu HTML. Zdalny atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu wykona się w przeglądarce ofiary w kontekście bezpieczeństwa hostowanej witryny.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego kodu HTML, co może prowadzić do kradzieży danych, przejęcia sesji lub ataków phishingowych. Atak może być wykorzystany do wyświetlania fałszywych treści w kontekście zaufanej witryny.
Rekomendacja
Zaleca się aktualizację IBM OpenPages do najnowszej wersji zawierającej poprawki. Należy również stosować odpowiednie filtrowanie danych wejściowych i kodowanie wyjścia.
Inne podatności w IBM OpenPages
Zobacz wszystkie- CVE-2025-36223Średnie
IBM OpenPages 9.0 i 9.1 jest podatny na wstrzykiwanie nagłówków HTTP spowodowane niewłaściwą walidacją danych wejściowych w nagłówkach HOST. Może to umożliwić atakującemu przeprowadzenie różnych ataków, w tym cross-site scripting, zatruwania pamięci podręcznej lub przejęcia sesji.
- CVE-2025-27368Średnie
IBM OpenPages 9.0 i 9.1 jest podatny na ujawnienie poufnych informacji z powodu słabszego niż oczekiwano zabezpieczenia niektórych punktów końcowych REST używanych przez interfejs użytkownika OpenPages. Uwierzytelniony użytkownik może uzyskać pewne informacje o metadanych systemu z obszarów wykraczających poza to, co powinien widzieć.
- CVE-2025-36121Średnie
IBM OpenPages 9.1 i 9.0 jest podatny na wstrzyknięcie kodu HTML. Zdalny uwierzytelniony atakujący może wstrzyknąć złośliwy kod HTML, który po wyświetleniu zostanie wykonany w przeglądarce ofiary w kontekście bezpieczeństwa witryny.
Oryginalny opis (angielski, źródło NVD)
IBM OpenPages 9.1, and 9.0 with Watson is vulnerable to HTML injection. A remote attacker could inject malicious HTML code, which when viewed, would be executed in the victim's Web browser within the security context of the hosting site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS