VULNERABILIDAD
CVE-2026-4950 Cross-site scripting (XSS) almacenado en el portal CustomerAdministration (KundenManager) de VertiGIS…
El portal CustomerAdministration (KundenManager) de VertiGIS WebOrderSystem permite a usuarios privilegiados gestionar empleados de empresas definidas. Propiedades de usuario, como el parámetro "secondName", pueden rellenarse con código JavaScript al editar un usuario; el código se almacena y se ejecuta en el navegador de cualquier otro usuario privilegiado que abra la entrada editada o el resumen de usuarios del grupo. Un atacante autenticado con acceso al portal puede ejecutar script en la sesión de otros…
Alerta de Nureq Monitor
Detectada 23 OCT · 06:55
CVSS 4.0
4.8MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 23
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-4950
El portal CustomerAdministration (KundenManager) de VertiGIS WebOrderSystem permite a usuarios privilegiados gestionar empleados de empresas definidas. Propiedades de usuario, como el parámetro "secondName", pueden rellenarse con código JavaScript al editar un usuario; el código se almacena y se ejecuta en el navegador de cualquier otro usuario privilegiado que abra la entrada editada o el resumen de usuarios del grupo. Un atacante autenticado con acceso al portal puede ejecutar script en la sesión de otros…
Productos y versiones afectadas
VertiGIS Ltd. WebOrderSystem (KundenManager)
Qué hacer
- Verificá si usás WebOrderSystem (KundenManager) y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 4.0 · 4.8 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Altos
- INTERACCIÓN DEL USUARIO (UI)
- Pasiva
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Ninguna
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Ninguna
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Ninguna
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Baja
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Baja
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
The CustomerAdministration portal (KundenManager) of VertiGIS WebOrderSystem allows privileged users to manage the employees of defined companies (user groups). User properties, for example the "secondName" parameter, can be filled with JavaScript code while editing a user. The code is stored and executed in the browser of any other privileged user who opens the edited user entry or the user overview of the corresponding user group. An authenticated attacker with access to the portal can use this to run script code in the session of other portal users. Version 7.0.8.6, the latest available at the time of testing, is affected. The vendor did not provide information about further affected versions.
Referencias
- r.sec-consult.com/vertigisTHIRD-PARTY-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.