CVE-2026-5702
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Aplikacja SABBATIC zawiera podatność Cross-Site Request Forgery (CSRF), która pozwala atakującemu nakłonić uwierzytelnionego użytkownika do kliknięcia złośliwego linku lub załadowania strony wysyłającej nieautoryzowane żądania do podatnego endpointu.
Ocena ryzyka
Atakujący może wykonać akcje w imieniu zalogowanego użytkownika bez jego wiedzy, co może prowadzić do nieautoryzowanych zmian danych lub konfiguracji. Ryzyko dotyczy wszystkich uwierzytelnionych użytkowników aplikacji SABBATIC.
Rekomendacja
Wdróż mechanizmy ochrony przed CSRF (tokeny anty-CSRF, weryfikacja nagłówka Origin/Referer) oraz zaktualizuj aplikację do wersji zawierającej poprawkę.
Inne podatności w SABBATIC
Zobacz wszystkie- CVE-2026-5700Średnie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatny parametr to 'observaciones' w endpoincie /mis-gastos.
- CVE-2026-5699Średnie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatny parametr to 'companyName' w endpoincie /empresa.
- CVE-2026-5698Średnie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatne parametry to 'titulo_es' oraz 'add_etiquetas[]' w endpoincie /categorías.
- CVE-2026-5697Średnie
Aplikacja SABBATIC zawiera podatność Stored Cross-Site Scripting (XSS) pozwalającą atakującemu zapisać kod JavaScript, który wykona się w przeglądarce ofiary po wyświetleniu strony. Podatny parametr to 'nombre' w endpoincie /usuario.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in SABBATIC application that allows an attacker can trick an authenticated user into clicking a malicious link or loading a page that sends unauthorized requests to a vulnerable endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS