CVE-2026-4952 in WebOrderSystem
Resumen
por VulDB • 2026-10-23
La interfaz web "ASMobile", que forma parte del paquete de software VertiGIS "GIS Portal", permite a los usuarios autenticados definir una referencia comercial. Se puede insertar código JavaScript en este campo. Por sí solo, esto afecta únicamente al usuario que lo introdujo (self-XSS). Sin embargo, la referencia comercial se incluye en los detalles del pedido cuando el usuario realiza un pedido a través de la interfaz web. El pedido aparece posteriormente listado en el portal OrderAdministration (AuftragsManager) de VertiGIS WebOrderSystem, donde el código almacenado se ejecuta tan pronto como un usuario con privilegios elevados abre el pedido. La versión 7.0.8.6 de WebOrderSystem, la última disponible en el momento de las pruebas, está afectada. El proveedor no proporcionó información sobre otras versiones afectadas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.