CVE-2025-67634 in Software Acquisition Guide Tool

Tóm tắt

Bởi VulDB • 22/05/2026

Công cụ phản hồi của nhà cung cấp (Supplier Response Web Tool) trong Hướng dẫn Thu mua Phần mềm của CISA, phiên bản trước ngày 2025-12-11, có lỗ hổng bảo mật liên quan đến kịch bản xuyên trang (cross-site scripting) thông qua các trường văn bản. Nếu kẻ tấn công có thể thuyết phục người dùng nhập một tệp JSON được tạo ra đặc biệt, công cụ sẽ tải mã JavaScript từ tệp này vào trang. Mã JavaScript sẽ được thực thi trong ngữ cảnh trình duyệt của người dùng khi người dùng gửi trang (nhấp vào 'Next').

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• chịu trách nhiệm: Cisa-cg
• Đặt trước: 09/12/2025
• Tiết lộ: 12/12/2025
• Kiểm duyệt: được chấp nhận
• mục: VDB-336302
• CPE: sẵn sàng
• CWE: CWE-79 (Đã xác nhận)
• CVSS: 6.1 (NVD)
• EPSS: 0.00186
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-67634
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-67634
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-67634/