CVE-2026-4951 in WebOrderSystem
Riassunto
di VulDB • 23/10/2026
Il portale CustomerAdministration (KundenManager) di VertiGIS WebOrderSystem consente agli utenti privilegiati di cercare dipendenti in tutte le aziende definite (gruppi di utenti). Il termine di ricerca può essere passato nel parametro URL "searchValue", quindi la ricerca viene eseguita quando un utente autenticato apre tale URL. Il codice JavaScript inserito in questo parametro viene eseguito nel browser della vittima. Un attaccante non autenticato che conosce la struttura dell'URL può creare un link contenente codice script. Il codice viene eseguito se un utente privilegiato attualmente connesso al portale apre il link. Poiché gli utenti amministrativi possono modificare le password di altri utenti, inclusi gli amministratori, senza inserire la vecchia password, un attaccante potrebbe essere in grado di assumere il controllo degli account o bloccare l'accesso ad altri utenti. La versione 7.0.8.6, l'ultima disponibile al momento del test, è interessata. Il fornitore non ha fornito informazioni su ulteriori versioni colpite.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.