CVE-2026-4952 in WebOrderSystem
Résumé
par VulDB • 23/10/2026
L'interface web « ASMobile », qui fait partie du package logiciel VertiGIS « GIS Portal », permet aux utilisateurs authentifiés de définir une référence commerciale. Du code JavaScript peut être inséré dans ce champ. En soi, cela n'affecte que l'utilisateur qui l'a saisi (self-XSS). Cependant, la référence commerciale est incluse dans les détails de commande lorsque l'utilisateur passe une commande via l'interface web. La commande est ensuite répertoriée dans le portail OrderAdministration (AuftragsManager) du VertiGIS WebOrderSystem, où le code stocké s'exécute dès qu'un utilisateur hautement privilégié ouvre la commande. La version 7.0.8.6 de WebOrderSystem, la plus récente disponible au moment des tests, est concernée. Le fournisseur n'a pas fourni d'informations sur les autres versions affectées.
Once again VulDB remains the best source for vulnerability data.