CVE-2026-7004
WIT SynApps Runtime 1.4.11 XSS réfléchi via le paramètre LINK
- Publié
- 30 oct. 2026
- Mise à jour
- 30 oct. 2026
- Attribution de CNA
- VulnCheck
- Preuve observée
- 30 oct. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XRésumé
WIT SynApps Runtime jusqu'à la version 1.4.11 contient une vulnérabilité de cross-site scripting réfléchi pré-authentification qui permet à des attaquants non authentifiés d'injecter et d'exécuter du JavaScript arbitraire en soumettant un paramètre de requête LINK spécialement conçu vers le point de terminaison /System/Session-1. Les attaquants peuvent exploiter cette faille pour récolter des identifiants, manipuler le flux de connexion, accéder aux données visibles par le navigateur et effectuer des requêtes de même origine vers les points de terminaison du contrôleur, y compris une primitive de changement d'origine contre le contrôleur interne dans les scénarios Cloud RIA.
Sources
- ExploitsPoC
Des CVE originaux, des PoC d'exploits et des avis de sécurité avec des chaînes de vulnérabilités détaillées, des techniques d'élévation de privilèges et d'évasion de conteneurs pour les tests d'intrusion et la recherche.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.