CVE-2026-73641
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Dayforce ESS Excelity jest podatny na Reflected XSS w wielu punktach końcowych. Atakujący może przygotować specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Problem naprawiono w wersji V4.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście sesji ofiary, co grozi kradzieżą danych uwierzytelniających lub wykonaniem działań w imieniu użytkownika. Ryzyko dotyczy wszystkich użytkowników otwierających spreparowane linki.
Rekomendacja
Zaktualizuj Dayforce ESS Excelity do wersji V4 lub nowszej. Poinformuj użytkowników o ryzyku klikania w nieznane linki.
Inne podatności w Dayforce ESS Excelity
Zobacz wszystkie- CVE-2026-73642Krytyczne
Dayforce ESS Excelity jest podatny na atak typu Path Traversal w funkcji pobierania plików. Nieuwierzytelniony atakujący może wysłać żądanie GET z parametrem ścieżki pliku ustawionym na dowolną ścieżkę, w tym bezwzględną ścieżkę lokalną. Problem naprawiono w wersji V4.
- CVE-2026-73640Krytyczne
Dayforce ESS Excelity jest podatny na atak typu Time-Based Blind SQL Injection w funkcji odzyskiwania hasła. Nieuwierzytelniony atakujący może przygotować żądanie GET z jednym z parametrów wypełnionym dowolnym zapytaniem SQL, które jest interpretowane jako część predykatu SQL. Problem naprawiono w wersji V3.
Oryginalny opis (angielski, źródło NVD)
Dayforce ESS Excelity is vulnerable to Reflected XSS in multiple endpoints. An attacker can prepare a specially crafted URL that, when opened, results in arbitrary JavaScript execution in the victim's browser. This issue was fixed in version V4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS