CVE-2026-15321
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W MyEMS do wersji 6.4.0 w pliku myems-api/core/svg.py funkcja on_post komponentu Admin Backend jest podatna na atak XSS poprzez manipulację argumentem new_values['data']. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania skryptów w przeglądarce administratora, co może prowadzić do kradzieży sesji, modyfikacji danych lub dalszych ataków na system.
Rekomendacja
Należy niezwłocznie zaktualizować MyEMS do wersji 6.5.0, która zawiera oficjalną łatkę (commit 4a97edfbd786c779d0322054833b21ddf54d5b06).
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in MyEMS up to 6.4.0. The affected element is the function on_post of the file myems-api/core/svg.py of the component Admin Backend. The manipulation of the argument new_values['data'] results in cross site scripting. The attack can be launched remotely. The exploit has been made public and could be used. Upgrading to version 6.5.0 is sufficient to fix this issue. The patch is identified as 4a97edfbd786c779d0322054833b21ddf54d5b06. It is suggested to upgrade the affected component. The issue report remains open even though there is an official fix for it.