Stored Cross-Site Scripting nel motore di workflow di Altium Enterprise Server consente l'escalation dei privilegi
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Una vulnerabilità di cross-site scripting (XSS) memorizzato esiste nel motore di workflow di Altium a causa della mancata sanificazione lato server dell'input nelle API di invio dei moduli di workflow. Un utente autenticato regolare può iniettare JavaScript arbitrario nei dati del workflow. Quando un amministratore visualizza il workflow interessato, il payload iniettato viene eseguito nel contesto del browser dell'amministratore, consentendo l'escalation dei privilegi, inclusa la creazione di nuovi account amministratore, il furto di token di sessione e l'esecuzione di azioni amministrative.
Exploit proof-of-concept per CVE-2026-1010, che dimostra lo smuggling di connessioni WebSocket e il request splitting tramite un header Upgrade malformato contro configurazioni reverse proxy/backend.
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.