CVE-2025-60917
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W punkcie końcowym /overview/network/ aplikacji Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje podatność typu reflected XSS. Atakujący może wstrzyknąć złośliwy ładunek do parametru color, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika.
Ocena ryzyka
Podatność umożliwia kradzież sesji, ujawnienie poufnych informacji lub wykonanie nieautoryzowanych działań w kontekście przeglądarki ofiary. Może być wykorzystana w atakach phishingowych.
Rekomendacja
Należy zaktualizować Openatlas do wersji 8.12.0 lub nowszej, która poprawnie waliduje i koduje dane wejściowe w parametrze color. Zaleca się wdrożenie mechanizmów ochrony przed XSS.
Inne podatności w Openatlas
Zobacz wszystkie- CVE-2025-60916Średnie
W Austrian Archaeological Institute Openatlas przed wersją v8.12.0 występuje podatność na odbite XSS (reflected cross-site scripting) w punkcie końcowym /overview/network/. Atakujący może wykonać dowolny kod w kontekście przeglądarki użytkownika poprzez wstrzyknięcie spreparowanego ładunku do parametru charge.
- CVE-2025-60915Wysokie
W Openatlas Austriackiego Instytutu Archeologicznego przed wersją v8.12.0 występuje problem w parametrze size zapytania (/views/file.py), który pozwala atakującym na wykonanie path traversal poprzez spreparowane żądanie.
- CVE-2025-60914Średnie
W Austrian Archaeological Institute Openatlas przed wersją 8.12.0 występuje nieprawidłowa kontrola dostępu. Atakujący mogą uzyskać dostęp do poufnych informacji poprzez wysłanie spreparowanego żądania GET do endpointu /display_logo.
- CVE-2025-56423Średnie
W OpenAtlas v.8.12.0 (Austrian Academy of Sciences, Austrian Archaeological Institute) występuje problem umożliwiający zdalnemu atakującemu uzyskanie poufnych informacji poprzez komunikaty błędów logowania.
- CVE-2025-40709Średnie
W OpenAtlas v8.9.0 występuje podatność typu cross-site scripting (XSS) wynikająca z nieodpowiedniej walidacji danych wejściowych podczas wysyłania żądania POST. Zdalny użytkownik może wysłać spreparowane zapytania do uwierzytelnionego użytkownika poprzez parametry "name" i "alias-0" w żądaniu "/insert/person/<ID>".
- CVE-2025-40708Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/event", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40707Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametry "name" i "alias-0" w żądaniu "/insert/place", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40706Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/source", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40705Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/acquisition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
- CVE-2025-40704Średnie
Podatność Cross-Site Scripting (XSS) w OpenAtlas v8.9.0 wynika z niewystarczającej walidacji danych wejściowych przy żądaniach POST. Atakujący może wysłać spreparowane zapytanie przez parametr "name" w żądaniu "/insert/edition", aby przechwycić dane sesji uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability in the /overview/network/ endpoint of Austrian Archaeological Institute Openatlas before v8.12.0 allows attackers to execute arbitrary code in the context of a user's browser via injecting a crafted payload into the color parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS