CodeAstro Human Resource Management System 1.0 Notice Board Management /notice/All_notice Notice Title межсайтовый скриптинг

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
5.6$0-$5k0.00

СводкаИнформация

В CodeAstro Human Resource Management System 1.0 была найдена уязвимость, классифицированная как проблематичный. Используемая неизвестная функция файла /notice/All_notice компонента Notice Board Management. Выполнение манипуляции с аргументом Notice Title с входным значением <svg onload="alert('Stored XSS Triggered by Ashik Mohamed')"> в составе POST приводит к межсайтовый скриптинг. Эта уязвимость обрабатывается как CVE-2026-11491. Атаку можно инициировать удаленно. Более того, существует эксплойт.

ПодробностиИнформация

В CodeAstro Human Resource Management System 1.0 была найдена уязвимость, классифицированная как проблематичный. Используемая неизвестная функция файла /notice/All_notice компонента Notice Board Management. Выполнение манипуляции с аргументом Notice Title с входным значением <svg onload="alert('Stored XSS Triggered by Ashik Mohamed')"> в составе POST приводит к межсайтовый скриптинг. Использование CWE для объявления проблемы приводит к тому, что CWE-79. Данная уязвимость была опубликована исследователем Ashik Mohamed (ashikmd7) в виде Security Advisory (GitHub). Консультация доступна для скачивания по адресу github.com. Публичный релиз был согласован с поставщиком.

Эта уязвимость обрабатывается как CVE-2026-11491. Атаку можно инициировать удаленно. Имеются технические подробности. Данная уязвимость менее популярна, чем в среднем. Более того, существует эксплойт. Эксплойт был раскрыт общественности и может быть использован. На данный момент актуальная стоимость эксплойта может быть около USD $0-$5k. В проекте MITRE ATT&CK эта техника атаки обозначена как T1059.007.

Присвоено значение Доказательство концепции. Эксплойт можно скачать по ссылке github.com.

В предупреждении указано следующее:

Sanitize and HTML-Encode User-Supplied Notice Title Input Before Rendering. Restrict Notice Creation to Authorized Administrative Users and Implement Notice Deletion Functionality.

ПродуктИнформация

Тип

Поставщик

Имя

Версия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔒
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 6.0
VulDB Meta Temp Score: 5.6

VulDB Базовый балл: 2.4
VulDB Временная оценка: 2.2
VulDB Вектор: 🔒
VulDB Надёжность: 🔍

Исследователь Базовый балл: 9.6
Исследователь Вектор: 🔒

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔒
VulDB Временная оценка: 🔒
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Класс: межсайтовый скриптинг
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔒
ATT&CK: 🔒

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔒
Доступ: публичный
Статус: Доказательство концепции
Автор: Ashik Mohamed (ashikmd7)
Скачать: 🔒

EPSS Score: 🔒
EPSS Percentile: 🔒

Прогноз цен: 🔍
Оценка текущей цены: 🔒

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: о смягчении не известно
Статус: 🔍

0-дневное время: 🔒
Задержка эксплуатации: 🔍

ХронологияИнформация

07.06.2026 Поставщик подтвердил
07.06.2026 +0 дни Консультация опубликована
07.06.2026 +0 дни Эксплойт опубликован
07.06.2026 +0 дни Запись VulDB создана
07.06.2026 +0 дни Последнее обновление VulDB

ИсточникиИнформация

Поставщик: codeastro.com

Консультация: github.com
Исследователь: Ashik Mohamed (ashikmd7)
Статус: Не определено
Скоординированный: 🔒

CVE: CVE-2026-11491 (🔒)
GCVE (CVE): GCVE-0-2026-11491
GCVE (VulDB): GCVE-100-369111
scip Labs: https://www.scip.ch/en/?labs.20161013

ВходИнформация

Создано: 07.06.2026 12:18
Обновлено: 07.06.2026 15:33
Изменения: 07.06.2026 12:18 (54), 07.06.2026 15:30 (33), 07.06.2026 15:33 (3)
Завершенный: 🔍
Отправитель: ashikmd7
Коммиттер: ashikmd7
Cache ID: 216::103

ОтправитьИнформация

принято

  • Отправить #834747: CodeAstro Human Resource Management System in PHP CodeIgniter 1.0 Cross Site Scripting (по ashikmd7)

Be aware that VulDB is the high quality source for vulnerability data.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Want to know what is going to be exploited?

We predict KEV entries!