CVE-2026-11491
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W systemie CodeAstro Human Resource Management System 1.0 znaleziono podatność na atak XSS w funkcji wyświetlania ogłoszeń. Manipulacja argumentem 'Notice Title' przez przesłanie formularza POST z kodem JavaScript powoduje wykonanie skryptu w przeglądarce ofiary.
Ocena ryzyka
Atakujący może zdalnie wykonać złośliwy skrypt w sesji innego użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować system do wersji z poprawką lub zastosować filtrowanie wejścia dla parametru 'Notice Title' oraz kodowanie wyjścia.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in CodeAstro Human Resource Management System 1.0. Impacted is an unknown function of the file /notice/All_notice of the component Notice Board Management. Such manipulation of the argument Notice Title with the input <svg onload="alert('Stored XSS Triggered by Ashik Mohamed')"> as part of POST leads to cross site scripting. It is possible to launch the attack remotely. The exploit is publicly available and might be used.