CVE-2026-90695: XSS в SourceCodester Inventory Management System
В SourceCodester Inventory Management System 1.0 обнаружена уязвимость межсайтового скриптинга (XSS) в файле /api/vendors_handler.php компонента Vendor Management. Атаку можно провести удалённо, эксплойт уже опубликован. Уровень критичности — средний (CVSS 5.1).
Подробности
Уязвимость затрагивает SourceCodester Inventory Management System версии 1.0. Проблема локализована в файле /api/vendors_handler.php, относящемся к компоненту Vendor Management. Точная функция, в которой возникает ошибка, в записи CVE не раскрыта — указано лишь, что манипуляция входными данными приводит к межсайтовому скриптингу. Это означает, что непроверенные или недостаточно экранированные данные могут попадать в генерируемый HTML-ответ и исполняться в браузере пользователя. Атака может быть проведена удалённо, без необходимости локального доступа к серверу. Уязвимости присвоен базовый балл CVSS 5.1, что соответствует среднему уровню критичности. Такой показатель отражает умеренное влияние на конфиденциальность и целостность данных при отсутствии прямого влияния на доступность системы. Особую настороженность вызывает тот факт, что эксплойт уже опубликован и может быть использован злоумышленниками. Это сокращает время, доступное администраторам для реагирования, и делает срочность устранения уязвимости более высокой.Что делать
На момент публикации записи CVE официальные патчи или обновления от производителя не упоминаются. В связи с этим рекомендуется: - Проверить, используется ли в инфраструктуре SourceCodester Inventory Management System 1.0, и оценить, доступен ли компонент Vendor Management из внешней сети. - Ограничить сетевой доступ к файлу /api/vendors_handler.php средствами межсетевого экрана или веб-сервера, если функциональность не требуется для внешних пользователей. - Внедрить фильтрацию и экранирование входных данных на уровне обратного прокси или WAF, настроив правила для блокировки типовых XSS-векторов. - Следить за обновлениями от SourceCodester и записями CVE Project: при выпуске официального исправления установить его в приоритетном порядке. - Ограничить права пользователей системы и не размещать интерфейс управления запасами в публичном доступе без дополнительной аутентификации.Итог
CVE-2026-90695 — это XSS-уязвимость среднего уровня в SourceCodester Inventory Management System 1.0, затрагивающая компонент Vendor Management. Наличие публичного эксплойта и удалённый характер атаки требуют оперативной реакции: до выхода официального патча следует ограничить доступ к уязвимому эндпоинту и усилить фильтрацию входных данных. Организациям, использующим эту систему, рекомендуется провести внеплановую проверку защищённости веб-приложения.Источник: CVE Project (cvelistV5)