Затронутая функция

Затронутый API: PUT /emgui/rest/appDatasheet//?full=true HTTP/1.1

PoC

Чтобы использовать эту уязвимость хранимого межсайтового скриптинга (XSS), аутентифицированный пользователь должен сначала получить доступ к странице списка программных пакетов через панель управления. Функция редактирования взаимодействует с конечной точкой API /emgui/rest/appDatasheet/. Затем злоумышленник может внедрить XSS-пейлоад в параметры 'About application', 'What's news' или 'Release note'. После внедрения вредоносный JavaScript сохраняется на сервере и автоматически выполняется, когда другие пользователи позже просматривают эти разделы.

Результат

Злоумышленник может выполнить произвольный код JavaScript в браузерах других пользователей, что приводит к перехвату сеансов, краже учетных данных или несанкционированным действиям, выполняемым от имени жертвы. Эта уязвимость затрагивает всех пользователей, которые просматривают скомпрометированную информацию о программных пакетах.

CVE-2026-30082

Популярное

Автор находки