CVE-2026-48226
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Open ISES Tickets przed wersją 3.44.2 występuje odbita podatność XSS w pliku os_watch.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez niesanitowane parametry POST ref i mode_orig, które są bezpośrednio umieszczane w atrybutach value ukrytych pól formularza HTML.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub kradzieży danych.
Rekomendacja
Zaktualizuj Open ISES Tickets do wersji 3.44.2 lub nowszej. Dodatkowo należy stosować odpowiednie kodowanie wyjścia dla wszystkich danych pochodzących od użytkownika.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a reflected cross-site scripting vulnerability in os_watch.php that allows authenticated attackers to inject arbitrary JavaScript by passing an unsanitized value through the ref and mode_orig POST parameters directly into HTML form hidden input value attributes. Attackers can craft a malicious request containing a JavaScript payload that executes in the victim's browser when the response is rendered.