CVE-2025-40640

ŚrednieCVSS 5.4

Opublikowano: 10/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Energy CRM v2025 od Status Tracker Ltd ma podatność na trwały XSS (Stored XSS) z powodu braku odpowiedniej walidacji danych wejściowych użytkownika podczas wysyłania żądania POST do „/crm/create_invoice_submit.php” z parametrem „customerName_0”. Podatność ta może pozwolić zdalnemu użytkownikowi na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież jego sesji cookie.

Ocena ryzyka

Kradzież sesji cookie może prowadzić do przejęcia konta uwierzytelnionego użytkownika, co może skutkować nieautoryzowanym dostępem do danych i funkcji systemu.

Rekomendacja

Zaktualizuj Energy CRM do najnowszej wersji, która zawiera poprawkę walidacji wejścia. Dodatkowo wdróż mechanizmy filtrowania i kodowania danych wyjściowych, aby zapobiec XSS.

Inne podatności w Energy CRM

CVE-2025-40643Średnie
Energy CRM v2025 firmy Status Tracker Ltd zawiera podatność typu Stored Cross-Site Scripting (XSS) wynikającą z braku właściwej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST do '/crm/create_job_submit.php' z parametrem 'JobCreatedBy'. Podatność może pozwolić zdalnemu użytkownikowi na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież szczegółów sesji cookie.

Oryginalny opis (angielski, źródło NVD)

Stored Cross-Site Scripting (XSS) vulnerability in Energy CRM v2025 by Status Tracker Ltd, consisting of a stored XSS due to lack of proper validation of user input by sending a POST request to “/crm/create_invoice_submit.php”, using the “customerName_0” parameter. This vulnerability could allow a remote user to send a specially crafted query to an authenticated user and steal their cookie session details.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS