CVE-2026-115513
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
OpenCATS przed wersją 0.12.0 zawiera lukę w zabezpieczeniach przechowywanych skryptów między witrynami, która umożliwia uwierzytelnionemu użytkownikowi o niskich uprawnieniach wstrzykiwanie ładunków HTML/JavaScript poprzez ustawienie pola Kandydat, Firma, Kontakt, Zlecenie na stanowisko lub Nazwa/tytuł listy, które jest przechowywane w stanie oczyszczonym, a później renderowane bez zmiany znaczenia w panelu nawigacyjnym „Ostatnie” (MRU) wyświetlanym na prawie każdej stronie za pomocą funkcji getFormatted() biblioteki lib/MRU.php. Atakujący mogą to wykorzystać, tworząc złośliwą nazwę rekordu, która uruchamia dowolny kod JavaScript w sesji dowolnego innego użytkownika, w tym administratorów witryny, który przegląda rekord, umożliwiając kradzież sesji/pliku cookie i eskalację uprawnień do pełnej kontroli administracyjnej.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org