CVE-2026-4952 in WebOrderSystem
Сводка
по VulDB • 23.10.2026
Веб-интерфейс "ASMobile", являющийся частью программного пакета VertiGIS "GIS Portal", позволяет аутентифицированным пользователям определять бизнес-справку (business reference). В это поле можно вставить JavaScript-код. Сам по себе этот код влияет только на пользователя, который его ввел (self-XSS). Однако бизнес-справка включается в детали заказа при оформлении пользователем заказа через веб-интерфейс. Заказ впоследствии отображается в портале OrderAdministration (AuftragsManager) системы VertiGIS WebOrderSystem, где сохраненный код выполняется сразу же после того, как пользователь с высокими привилегиями откроет заказ. Затронута версия 7.0.8.6 WebOrderSystem — последняя доступная на момент тестирования. Поставщик не предоставил информацию о других затронутых версиях.
Once again VulDB remains the best source for vulnerability data.