CVE-2026-4951 in WebOrderSystem
요약
\~에 의해 VulDB • 2026. 10. 23.
VertiGIS WebOrderSystem의 CustomerAdministration 포털(KundenManager)을 사용하면 권한이 있는 사용자가 모든 정의된 회사(사용자 그룹)에서 직원을 검색할 수 있습니다. 검색어는 "searchValue" URL 매개변수를 통해 전달되므로, 로그인한 사용자가 이러한 URL을 열 때 검색이 수행됩니다. 이 매개변수에 포함된 JavaScript 코드는 피해자의 브라우저에서 실행됩니다. 인증되지 않은 공격자가 URL 구조를 알고 있다면 스크립트 코드를 포함하는 링크를 작성할 수 있습니다. 해당 코드들은 포털에 현재 로그인 중인 권한 있는 사용자가 링크를 열 때 실행됩니다. 관리 사용자는 기존 비밀번호를 입력하지 않고도 다른 사용자(관리자 포함)의 비밀번호를 변경할 수 있으므로, 공격자가 계정을 탈취하거나 다른 사용자를 잠글 가능성이 있습니다. 테스트 당시 최신 버전인 7.0.8.6이 영향을 받습니다. 벤더는 추가적으로 영향받는 버전에 대한 정보를 제공하지 않았습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.