5.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Aureus ERP before 1.6.0 contains a stored cross-site scripting vulnerability in the Chatter field-change log where old_value and new_value entries are rendered without proper escaping. Any user permitted to edit tracked text fields can inject malicious markup that executes when other users, including administrators, view the record's Chatter panel.
Засегнати продукти
- Webkul Aureus ERP: преди 1.6.0; 1.6.0
Вид слабост
История
- 21 септември 2026 Публикувано
Други уязвимости в Webkul Aureus ERP
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-94387
- https://nvd.nist.gov/vuln/detail/CVE-2026-94387
- https://github.com/aureuserp/aureuserp/commit/57cf5cf4c98d82a0ad89003402f27823fbe1e27c
- https://github.com/aureuserp/aureuserp/pull/1465
- https://github.com/aureuserp/aureuserp/blob/v1.5.0/plugins/webkul/chatter/resources/views/filament/infolists/components/messages/content-text-entry.blade.php#L165
- https://github.com/aureuserp/aureuserp/blob/v1.5.0/plugins/webkul/chatter/resources/views/filament/infolists/components/messages/content-text-entry.blade.php#L182
- https://hackmd.io/@leediay/stored-xss-aureuserp-chatter
- https://github.com/aureuserp/aureuserp/releases/tag/v1.6.0
- https://github.com/aureuserp/aureuserp
- https://www.vulncheck.com/advisories/aureus-erp-before-1.6.0-stored-xss-via-chatter-field-change-log