CVE-2026-36460

ŚrednieCVSS 4.8

Opublikowano: 03/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Dovestones Software ADPhonebook przed wersją 4.0.1.1 jest podatny na Cross-Site Scripting (XSS). API /Admin/Save pozwala uwierzytelnionemu administratorowi na przechowywanie złośliwych ładunków JavaScript w wielu sekcjach konfiguracyjnych bez odpowiedniej walidacji wejścia lub kodowania wyjścia.

Ocena ryzyka

Administrator może wstrzyknąć trwały XSS, który może być wykonany w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji lub danych.

Rekomendacja

Zaktualizuj ADPhonebook do wersji 4.0.1.1 lub nowszej.

Inne podatności w ADPhonebook

CVE-2026-31013Średnie
W aplikacji ADPhonebook firmy Dovestones Software w wersjach przed 4.0.1.1 występuje podatność typu reflected XSS w parametrze wyszukiwania endpointu /ADPhonebook?Department=HR. Dane wejściowe użytkownika są odzwierciedlane w odpowiedzi HTTP bez walidacji i kodowania wyjścia, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Oryginalny opis (angielski, źródło NVD)

Dovestones Softwares ADPhonebook before v4.0.1.1 is vulnerable to a Cross Site Scripting vulnerability. The /Admin/Save API allows an authenticated admin user to store malicious JavaScript payloads in multiple configuration sections without proper input validation or output encoding.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS