CVE-2025-40990
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Ekushey CRM v5.0 od Creativeitem ma podatność na trwały XSS (Stored XSS) z powodu braku odpowiedniej walidacji danych wejściowych użytkownika w ścieżce „/ekushey/index.php/client/project_bug/create/xxx”, dotyczącej parametrów „title” i „description” przez POST. Podatność ta może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież jego sesji cookie.
Ocena ryzyka
Kradzież sesji cookie może prowadzić do przejęcia konta użytkownika, co może skutkować nieautoryzowanym dostępem do danych i funkcji systemu.
Rekomendacja
Zaktualizuj Ekushey CRM do najnowszej wersji, która zawiera poprawkę walidacji wejścia. Dodatkowo wdróż mechanizmy filtrowania i kodowania danych wyjściowych, aby zapobiec XSS.
Inne podatności w Ekushey CRM
Zobacz wszystkie- CVE-2025-40991Średnie
Podatność na trwały atak XSS w systemie Ekushey CRM v5.0 firmy Creativeitem, spowodowana brakiem odpowiedniej walidacji danych wejściowych użytkownika w ścieżce '/ekushey/index.php/client/project_file/upload/xxxx', dotycząca parametru 'description' przesyłanego metodą POST. Umożliwia zdalnemu atakującemu wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież szczegółów sesji (ciasteczek).
- CVE-2025-40989Średnie
Podatność na trwały atak XSS w systemie Ekushey CRM v5.0 firmy Creativeitem, spowodowana brakiem odpowiedniej walidacji danych wejściowych użytkownika w ścieżce '/ekushey/index.php/client/project_message/add/xxx', dotycząca parametru 'message' przesyłanego metodą POST. Umożliwia zdalnemu atakującemu wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież szczegółów sesji (ciasteczek).
Oryginalny opis (angielski, źródło NVD)
Stored Cross Site Scripting vulnerability in Ekushey CRM v5.0 by Creativeitem, due to lack of proper validation of user inputs via the "/ekushey/index.php/client/project_bug/create/xxx", affecting to "title" and "description" parameters via POST. This vulnerability could allow a remote attacker to send a specially crafted query to an authenticated user and steal his/her cookie session details.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS