CVE-2026-34951

ŚrednieCVSS 6.1

Opublikowano: 06/04/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 24/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Workbench, zestaw narzędzi dla administratorów i deweloperów do interakcji z organizacjami Salesforce.com przez API Force.com, w wersjach przed 65.0.0 zawiera podatność typu reflected cross-site scripting (XSS) poprzez parametr footerScripts. Parametr ten nie jest sanityzowany przed renderowaniem w odpowiedzi strony, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Ocena ryzyka

Atakujący może nakłonić użytkownika Workbench do kliknięcia spreparowanego linku, co umożliwi kradzież sesji lub wykonanie działań w kontekście ofiary. Może to prowadzić do nieautoryzowanego dostępu do danych Salesforce.

Rekomendacja

Zaktualizuj Workbench do wersji 65.0.0 lub nowszej. Do czasu aktualizacji wdróż walidację i kodowanie danych wejściowych oraz rozważ użycie WAF.

Inne podatności w Workbench

CVE-2026-35178Krytyczne
Workbench przed wersją 65.0.0 zawiera lukę zdalnego wykonania kodu w przepływie konwersji strefy czasowej. Luka wynika z niebezpiecznego przetwarzania wartości cookie kontrolowanych przez atakującego.

Oryginalny opis (angielski, źródło NVD)

Workbench is a suite of tools for administrators and developers to interact with Salesforce.com organizations via the Force.com APIs. Prior to 65.0.0, Workbench contains a reflected cross-site scripting vulnerability via the footerScripts parameter, which does not sanitize user-supplied input before rendering it in the page response. Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Workbench allows XSS Targeting Error Pages. This vulnerability is fixed in 65.0.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS