CVE-2025-60916
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Austrian Archaeological Institute Openatlas przed wersją v8.12.0 występuje podatność na odbite XSS (reflected cross-site scripting) w punkcie końcowym /overview/network/. Atakujący może wykonać dowolny kod w kontekście przeglądarki użytkownika poprzez wstrzyknięcie spreparowanego ładunku do parametru charge.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, ukraść dane uwierzytelniające lub wykonać działania w imieniu ofiary. Wymaga to nakłonienia użytkownika do kliknięcia spreparowanego linku.
Rekomendacja
Zaktualizuj Openatlas do wersji v8.12.0 lub nowszej. Dodatkowo wdróż kodowanie danych wyjściowych i walidację parametru charge.
Inne podatności w Openatlas
Zobacz wszystkie- CVE-2025-60917Średnie
W punkcie końcowym /overview/network/ aplikacji Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje podatność typu reflected XSS. Atakujący może wstrzyknąć złośliwy ładunek do parametru color, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika.
- CVE-2025-60915Wysokie
W Openatlas Austriackiego Instytutu Archeologicznego przed wersją v8.12.0 występuje problem w parametrze size zapytania (/views/file.py), który pozwala atakującym na wykonanie path traversal poprzez spreparowane żądanie.
- CVE-2025-60914Średnie
W Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje nieprawidłowa kontrola dostępu. Atakujący mogą uzyskać dostęp do poufnych informacji poprzez wysłanie spreparowanego żądania GET do endpointu /display_logo.
- CVE-2025-56423Średnie
W OpenAtlas v.8.12.0 (Austrian Academy of Sciences, Austrian Archaeological Institute) występuje problem umożliwiający zdalnemu atakującemu uzyskanie poufnych informacji poprzez komunikaty błędów logowania.
- CVE-2025-40709Średnie
W OpenAtlas v8.9.0 występuje podatność typu cross-site scripting (XSS) wynikająca z nieodpowiedniej walidacji danych wejściowych podczas wysyłania żądania POST. Zdalny użytkownik może wysłać spreparowane zapytania do uwierzytelnionego użytkownika poprzez parametry "name" i "alias-0" w żądaniu "/insert/person/<ID>".
- CVE-2025-40708Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/event", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40707Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametry "name" i "alias-0" w żądaniu "/insert/place", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40706Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/source", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40705Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/acquisition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40704Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/edition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability in the /overview/network/ endpoint of Austrian Archaeological Institute Openatlas before v8.12.0 allows attackers to execute arbitrary code in the context of a user's browser via injecting a crafted payload into the charge parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS