CVE-2026-90443

ŚrednieCVSS 5.4

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Interfejs webowy odzwierciedla część adresu URL żądania w kontekście skryptu oraz w atrybucie hiperłącza bez odpowiedniego kodowania, a dostęp do niego nie wymaga uwierzytelnienia. Umożliwia to nieuwierzytelnionemu atakującemu sieciowemu utworzenie linku, który po odwiedzeniu przez użytkownika wykonuje dowolny skrypt w kontekście aplikacji i może przekierować przeglądarkę na dowolną zewnętrzną stronę.

Ocena ryzyka

Skuteczne wykorzystanie może pozwolić atakującemu na działanie z uprawnieniami sesji ofiary w aplikacji. Może to prowadzić do kradzieży danych lub wykonania nieautoryzowanych operacji.

Rekomendacja

Wprowadzić prawidłowe kodowanie danych wyjściowych dla odzwierciedlanych wartości URL oraz wdrożyć nagłówki bezpieczeństwa, takie jak Content-Security-Policy.

Inne podatności w Web interface

CVE-2026-70382Średnie
Niektóre wartości dostarczone z zewnątrz, przechowywane przez urządzenie, mogą być renderowane w interfejsie webowym bez wystarczającego kodowania wyjścia. Atakujący, który może wpłynąć na jedną z tych wartości, może spowodować wykonanie skryptu w przeglądarce użytkownika przeglądającego podatną stronę. Wykorzystanie wymaga wpływu atakującego na przechowywaną wartość oraz odwiedzenia przez użytkownika strony, która ją renderuje.

Oryginalny opis (angielski, źródło NVD)

A web interface reflects a portion of the request URL into a script context and a hyperlink attribute without adequate encoding, and does not require authentication to reach. This allows an unauthenticated network attacker to craft a link that, when visited by a user, executes arbitrary script in the context of the affected application and can redirect the user's browser to an arbitrary external site. Successful exploitation could allow an attacker to act with the compromised user's session privileges within the application.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS