CVE-2025-60646

ŚrednieCVSS 6.1

Opublikowano: 12/11/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

W module Business Line Management w Xxl-api v1.3.0 występuje podatność stored cross-site scripting (XSS), umożliwiająca wykonanie dowolnych skryptów lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru Name.

Ocena ryzyka

Atakujący może wykonać złośliwy kod w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub modyfikacji treści.

Rekomendacja

Należy wdrożyć poprawkę od dostawcy lub odpowiednio walidować i kodować dane wejściowe w parametrze Name.

Inne podatności w Xxl-api

CVE-2025-60645Średnie
W xxl-api v1.3.0 występuje podatność Cross-Site Request Forgery (CSRF), która pozwala atakującym dowolnie dodawać użytkowników do modułu zarządzania za pomocą spreparowanego żądania GET.

Oryginalny opis (angielski, źródło NVD)

A stored cross-site scripting (XSS) in the Business Line Management module of Xxl-api v1.3.0 attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the Name parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS