CVE-2026-4951 in WebOrderSystem
Zusammenfassung
von VulDB • 23.10.2026
Das CustomerAdministration-Portal (KundenManager) von VertiGIS WebOrderSystem ermöglicht privilegierten Benutzern die Suche nach Mitarbeitern über alle definierten Unternehmen (Benutzergruppen) hinweg. Der Suchbegriff kann im URL-Parameter „searchValue“ übermittelt werden, sodass die Suche ausgeführt wird, wenn ein angemeldeter Benutzer eine solche URL öffnet. In diesem Parameter platzierter JavaScript-Code wird im Browser des Opfers ausgeführt. Ein nicht authentifizierter Angreifer, der die URL-Struktur kennt, kann einen Link mit Skriptcode erstellen. Der Code wird ausgeführt, wenn ein privilegierter Benutzer, der derzeit in das Portal angemeldet ist, den Link öffnet. Da administrative Benutzer die Passwörter anderer Benutzer, einschließlich Administratoren, ändern können, ohne das alte Passwort eingeben zu müssen, kann es einem Angreifer gelingen, Konten zu übernehmen oder andere Benutzer auszuschließen. Die Version 7.0.8.6, zum Zeitpunkt der Tests die neueste verfügbare Version, ist betroffen. Der Hersteller hat keine Informationen über weitere betroffene Versionen bereitgestellt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.