CVE-2025-56313

ŚrednieCVSS 6.1

Opublikowano: 30/10/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W endpointcie /publix/run w JATOS w wersjach od 3.7.1 do 3.9.6 (włącznie) odkryto podatność Reflected Cross-Site Scripting (XSS). Atakujący może wykonać dowolny JavaScript w przeglądarce użytkownika, umieszczając złośliwy ładunek w parametrze URL "code". Gdy uwierzytelniony administrator odwiedzi URL badania, złośliwy skrypt zostanie wykonany w jego przeglądarce.

Ocena ryzyka

Może to prowadzić do nieautoryzowanych działań, przejęcia konta i eskalacji uprawnień. Ryzyko dotyczy organizacji korzystających z JATOS w podanych wersjach.

Rekomendacja

Zaktualizuj JATOS do wersji nowszej niż 3.9.6, która naprawia podatność. Wdroż dodatkowe mechanizmy walidacji i kodowania danych wejściowych.

Inne podatności w JATOS

CVE-2024-55008Wysokie
JATOS 3.9.4 zawiera podatność na atak typu DoS w systemie uwierzytelniania. Atakujący może zablokować konto użytkownika, wysyłając 3 nieudane próby logowania na minutę, co powoduje trwałe zablokowanie konta. Blokada działa na poziomie konta, a nie adresu IP, więc każdy atakujący może zablokować dowolne konto.

Oryginalny opis (angielski, źródło NVD)

A Reflected Cross-Site Scripting (XSS) vulnerability was discovered in the /publix/run endpoint of JATOS 3.7.1 through 3.9.6 (inclusive). This allows remote attackers to execute arbitrary JavaScript in a user's web browser by including a malicious payload in the "code" URL parameter. When an authenticated admin user accesses the study's URL, the malicious script gets interpreted and executes within their browser, which can lead to unauthorized actions, account compromise, and privilege escalation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS