Множественные уязвимости в приложении Repasat: CVE-2026-59665

В приложении Repasat обнаружена уязвимость, связанная с недостаточной обработкой пользовательского ввода. Проблема затрагивает веб-интерфейс продукта и может быть использована для проведения атак типа Cross-Site Scripting. Уязвимости присвоен идентификатор CVE-2026-59665, базовый балл CVSS составляет 4.8, что соответствует среднему уровню критичности.

Подробности

Уязвимость класса Cross-Site Scripting (XSS) затрагивает приложение Repasat. Согласно описанию, проблема локализована в параметре nomMotivo эндпоинта /es/lostmotives/store. Некорректная обработка данного параметра позволяет внедрить вредоносный код, который будет выполнен в браузере жертвы при взаимодействии с уязвимой страницей. Успешная эксплуатация даёт атакующему возможность обманом заставить пользователя выполнить произвольный код в контексте его браузера. Это может привести к краже сессионных данных, подмене содержимого страницы, перенаправлению на сторонние ресурсы или выполнению действий от имени пользователя без его ведома. Поскольку атака требует взаимодействия со стороны жертвы (например, перехода по специально сформированной ссылке), вектор эксплуатации относится к сетевым атакам с участием пользователя. Точные сведения о затронутых версиях продукта, а также информация о наличии официального патча в предоставленной записи CVE не приводятся. Стоит учитывать, что разработчики могли выпустить исправление отдельно от публикации CVE, поэтому актуальный статус рекомендуется уточнять у вендора.

Что делать

Для снижения рисков рекомендуется придерживаться следующих мер: - Проверить наличие обновлений приложения Repasat у вендора и установить их незамедлительно при появлении исправленной версии. - Если официальный патч недоступен, рассмотреть временные компенсирующие меры: ограничение доступа к эндпоинту /es/lostmotives/store, усиление фильтрации и экранирования входных параметров на стороне сервера. - Настроить корректную Content Security Policy (CSP), чтобы ограничить возможность выполнения внедрённого скрипта в браузере. - Использовать WAF для блокировки типовых XSS-пейлоадов, передаваемых через параметр nomMotivo. - Провести инвентаризацию использования продукта и оценить, кто из пользователей имеет доступ к уязвимой функциональности. Дополнительно стоит напомнить пользователям о базовых правилах безопасности: не переходить по подозрительным ссылкам и не открывать вложения из недоверенных источников, поскольку XSS-атаки часто реализуются именно через социальную инженерию.

Итог

CVE-2026-59665 — уязвимость среднего уровня критичности в приложении Repasat, связанная с XSS в параметре nomMotivo. Несмотря на умеренный балл CVSS (4.8), эксплуатация может привести к компрометации пользовательских сессий и выполнению произвольного кода в браузере жертвы. Ключевая рекомендация — как можно скорее установить обновление от вендора, а до его выхода применять компенсирующие меры защиты.

Источник: CVE Project (cvelistV5)