CVE-2025-8681
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Pega Platform w wersjach od 7.1.0 do Infinity 24.2.2 jest podatna na Stored XSS w komponencie interfejsu użytkownika. Wykorzystanie wymaga użytkownika o wysokich uprawnieniach z rolą dewelopera.
Ocena ryzyka
Uprzywilejowany użytkownik z rolą dewelopera może wstrzyknąć trwały złośliwy skrypt, który wykona się w przeglądarkach innych użytkowników platformy. Może to prowadzić do kradzieży sesji lub danych oraz dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj Pega Platform do wersji, w której podatność została naprawiona, i ogranicz liczbę użytkowników z rolą dewelopera. Wprowadź walidację danych wejściowych w komponentach interfejsu użytkownika.
Inne podatności w Pega Platform
Zobacz wszystkie- CVE-2026-13761Wysokie
Platforma Pega Platform w wersjach od 7.1.0 do 25.1.2 jest dotknięta podatnością nieprawidłowej walidacji danych wejściowych używanych w warunkach pętli, co może prowadzić do nadmiernego zapętlania, a w konsekwencji do odmowy usługi lub innych skutków.
- CVE-2026-10754Wysokie
Pega Platform w wersjach od 8.5.0 do 25.1.2 ma problem z nieprawidłową walidacją podpisów kryptograficznych, co może pozwolić atakującemu na ominięcie zabezpieczeń.
- CVE-2026-14337Średnie
Platforma Pega w wersjach od 23.1.0 do 25.1.3 jest dotknięta podatnością na trwały atak XSS (Stored Cross-site Scripting) w komponencie interfejsu użytkownika. Wymaga to użytkownika z wysokimi uprawnieniami i rolą dewelopera.
- CVE-2026-1563Średnie
Podatność Reflected XSS w Pega Platform w wersjach 8.1.0 do 25.1.2 dotyczy komponentu interfejsu użytkownika. Wymaga użytkownika z wysokimi uprawnieniami (rola dewelopera).
- CVE-2026-1562Średnie
Podatność Stored XSS w Pega Platform w wersjach 8.1.0 do 25.1.2 dotyczy komponentu interfejsu użytkownika. Wymaga użytkownika z wysokimi uprawnieniami (rola dewelopera).
- CVE-2025-62180Wysokie
Wersje Pega Platform od 8.3.0 do Infinity 25.1.2 mają słabość w autoryzacji, która może umożliwić uwierzytelnionym użytkownikom dostęp do dodatkowych danych za pomocą spreparowanych adresów URL.
- CVE-2026-1711Średnie
Pega Platform w wersjach od 8.1.0 do 25.1.1 zawiera lukę typu Stored Cross-Site Scripting w komponencie interfejsu użytkownika. Wymaga ona użytkownika o wysokich uprawnieniach z rolą dewelopera.
- CVE-2026-1564Średnie
Pega Platform w wersjach od 8.1.0 do 25.1.1 zawiera lukę typu HTML Injection w komponencie interfejsu użytkownika. Wymaga ona użytkownika o wysokich uprawnieniach z rolą dewelopera.
- CVE-2025-62184Niskie
Pega Platform w wersjach od 8.1.0 do 25.1.0 jest podatna na atak Stored Cross-site Scripting (XSS) w komponencie interfejsu użytkownika. Atak wymaga uprawnień administracyjnych i rozległych praw dostępu, a wpływ na poufność jest niski, a na integralność żaden.
- CVE-2025-62181Średnie
Podatność polegająca na enumeracji użytkowników w Pega Platform (wersje 7.1.0 do Infinity 25.1.0) występuje podczas procesu uwierzytelniania, gdzie różnica w czasie odpowiedzi pozwala zdalnemu nieuwierzytelnionemu atakującemu określić, czy nazwa użytkownika jest prawidłowa. Dotyczy to tylko przestarzałej funkcji podstawowego uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
Pega Platform versions 7.1.0 to Infinity 24.2.2 are affected by a Stored XSS issue in a user interface component. Requires a high privileged user with a developer role.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS