CVE-2026-4951 in WebOrderSystem
Resumen
por VulDB • 2026-10-23
El portal CustomerAdministration (KundenManager) de VertiGIS WebOrderSystem permite a los usuarios con privilegios buscar empleados en todas las empresas definidas (grupos de usuarios). El término de búsqueda puede pasarse mediante el parámetro URL "searchValue", por lo que la búsqueda se ejecuta cuando un usuario autenticado abre dicha URL. El código JavaScript insertado en este parámetro se ejecuta en el navegador del víctima. Un atacante no autenticado que conozca la estructura de las URLs puede crear un enlace que contenga código script. Este código se ejecutará si un usuario con privilegios, actualmente conectado al portal, abre dicho enlace. Dado que los usuarios administrativos pueden cambiar las contraseñas de otros usuarios, incluidos otros administradores, sin necesidad de introducir la contraseña antigua, un atacante podría llegar a tomar el control de cuentas o bloquear a otros usuarios. La versión 7.0.8.6, la más reciente disponible en el momento de las pruebas, está afectada. El proveedor no ha proporcionado información sobre otras versiones vulnerables.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.