CVE-2026-27964
NiskieCVSS 3.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Zaktualizuj FacturaScripts do wersji 2025.8 lub nowszej. Wdróż mechanizmy sanityzacji danych wyjściowych dla wszystkich danych pochodzących z ciasteczek.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts is an open source accounting and invoicing software. Versions 2025.7 and prior contain a Reflected Cross-Site Scripting (XSS) vulnerability through the fsNick cookie parameter. The application reflects the cookie's value directly into the HTML without sanitization. The fsNick cookie is rendered into the DOM without encoding. While the server does reject the modified session and forces a logout, the HTML containing the payload reaches the browser first. This lets the script execute immediately upon load, effectively beating the redirect. This issue has been fixed in version 2025.8.