CVE-2025-6024
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Endpoint uwierzytelniania nie koduje danych wprowadzonych przez użytkownika przed renderowaniem na stronie, co pozwala na wstrzyknięcie skryptów. Atakujący może wstrzyknąć złośliwe skrypty do endpointu uwierzytelniania, co może przekierować przeglądarkę użytkownika na złośliwą stronę, manipulować interfejsem lub wykraść informacje z przeglądarki. Przejęcie sesji nie jest możliwe dzięki fladze httpOnly na ciasteczkach sesyjnych.
Ocena ryzyka
Użytkownicy mogą być przekierowywani na złośliwe strony lub ich dane przeglądarki mogą zostać wykradzione, co narusza zaufanie i bezpieczeństwo.
Rekomendacja
Zaimplementuj odpowiednie kodowanie wyjścia (output encoding) na endpointcie uwierzytelniania. Zaktualizuj oprogramowanie do wersji z poprawką.
Inne podatności w Authentication endpoint
Zobacz wszystkie- CVE-2025-5769Średnie
Endpoint uwierzytelniania nie koduje prawidłowo danych wejściowych dostarczonych przez użytkownika przed wyświetleniem ich na stronie internetowej. Brak kodowania wyjściowego pozwala atakującemu na wstrzyknięcie złośliwych skryptów JavaScript do procesu uwierzytelniania, które są następnie wykonywane w przeglądarce ofiary.
- CVE-2026-11854Średnie
Endpoint uwierzytelniania generuje komunikat błędu zawierający dane odzwierciedlone bezpośrednio z żądania, bez wystarczającej sanityzacji lub kodowania. Umożliwia to atakującemu wstrzyknięcie złośliwych skryptów wykonywanych w kontekście przeglądarki ofiary (reflected XSS).
- CVE-2024-5139Średnie
Punkt końcowy uwierzytelniania przyjmuje dane wejściowe od użytkownika bez wystarczającego kodowania, co pozwala na wstrzyknięcie złośliwych ładunków JavaScript. Podatność można wywołać, przesyłając spreparowane dane do punktu końcowego uwierzytelniania.
- CVE-2025-10503Średnie
Punkt końcowy uwierzytelniania przyjmuje dane od użytkownika bez wymaganej walidacji, co prowadzi do braku odpowiedniego kodowania wyjścia. Umożliwia to wstrzyknięcie złośliwego JavaScriptu i atak Reflected XSS. Atakujący może przekierować przeglądarkę na złośliwą stronę, modyfikować interfejs lub wykradać informacje, ale przejęcie sesji nie jest możliwe ze względu na flagę httpOnly w ciasteczkach.
Oryginalny opis (angielski, źródło NVD)
The authentication endpoint fails to encode user-supplied input before rendering it in the web page, allowing for script injection. An attacker can leverage this by injecting malicious scripts into the authentication endpoint. This can result in the user's browser being redirected to a malicious website, manipulation of the web page's user interface, or the retrieval of information from the browser. However, session hijacking is not possible due to the httpOnly flag protecting session-related cookies.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS