CVE-2025-66918
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
System edoc-doctor-appointment-system w wersji 1.0.1 jest podatny na Cross Site Scripting (XSS) w pliku admin/add-session.php poprzez parametr "title".
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj aplikację do wersji zawierającej poprawkę lub wdroż walidację i sanityzację parametru "title" oraz wdroż nagłówki CSP.
Inne podatności w edoc-doctor-appointment-system
Zobacz wszystkie- CVE-2025-65358Krytyczne
Edoc-doctor-appointment-system v1.0.1 zawiera podatność na wstrzyknięcie SQL poprzez parametr 'docid' w pliku /admin/appointment.php.
- CVE-2026-116112Wysokie
W aplikacji HashenUdara edoc-doctor-appointment-system wykryto podatność w pliku admin/add-new.php, polegającą na manipulacji argumentem 'spec' prowadzącej do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może zostać wykorzystany. Produkt korzysta z modelu rolling release, więc nie są dostępne szczegóły wersji.
Oryginalny opis (angielski, źródło NVD)
edoc-doctor-appointment-system v1.0.1 is vulnerable to Cross Site Scripting (XSS) in admin/add-session.php via the "title" parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS