CVE-2026-48224
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W Open ISES Tickets przed wersją 3.44.2 występuje odbita podatność na ataki XSS w pliku ics214.php. Umożliwia ona uwierzytelnionym atakującym wstrzyknięcie dowolnego kodu JavaScript poprzez przekazanie niesanityzowanej wartości w parametrze POST frm_add_str, która jest bezpośrednio umieszczana w atrybucie value ukrytego pola formularza HTML.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku poufnych danych w organizacji.
Rekomendacja
Należy natychmiast zaktualizować Open ISES Tickets do wersji 3.44.2 lub nowszej, która zawiera poprawkę eliminującą podatność. Dodatkowo warto wdrożyć walidację i sanityzację wszystkich danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a reflected cross-site scripting vulnerability in ics214.php that allows authenticated attackers to inject arbitrary JavaScript by passing an unsanitized value through the frm_add_str POST parameter directly into an HTML form hidden input value attribute. Attackers can craft a malicious request containing a JavaScript payload that executes in the victim's browser when the response is rendered.