CVE-2026-48230
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Open ISES Tickets przed wersją 3.44.2 zawiera odbitą podatność XSS w pliku ticketsmdb_import.php. Uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript poprzez parametry POST (mdbhost, mdbdb, mdbuser, mdbpassword, mdbprefix, ticketshost, ticketsdb, ticketsuser, ticketspassword, ticketsprefix), które są bezpośrednio umieszczane w atrybutach wartości ukrytych pól formularza HTML.
Ocena ryzyka
Organizacja narażona jest na wykonanie złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, defacementu lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację Open ISES Tickets do wersji 3.44.2 lub nowszej, która zawiera poprawki zabezpieczające przed XSS.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 contains a reflected cross-site scripting vulnerability in ticketsmdb_import.php that allows authenticated attackers to inject arbitrary JavaScript by passing an unsanitized value through the multiple POST parameters (mdbhost, mdbdb, mdbuser, mdbpassword, mdbprefix, ticketshost, ticketsdb, ticketsuser, ticketspassword, ticketsprefix) directly into HTML form hidden input value attributes. Attackers can craft a malicious request containing a JavaScript payload that executes in the victim's browser when the response is rendered.