Множественные уязвимости в приложении Repasat (CVE-2026-59666)
В приложении Repasat выявлена уязвимость класса Cross-Site Scripting (XSS), затрагивающая параметр «nomOrigen» эндпоинта «/es/origins/store». Успешная эксплуатация позволяет злоумышленнику заставить пользователя выполнить произвольный код в его браузере. Уровень опасности по CVSS — 4.8 (MEDIUM).
Подробности
Речь идёт об уязвимости класса Cross-Site Scripting (XSS) в приложении Repasat. Согласно описанию, уязвимым является параметр «nomOrigen», передаваемый на эндпоинт «/es/origins/store». Из-за отсутствия должной нейтрализации входных данных злоумышленник может внедрить произвольный код, который будет исполнен в браузере жертвы при обращении к сформированной ссылке или странице. Успешная эксплуатация позволяет атакующему обманом побудить пользователя к выполнению произвольного кода в контексте его браузера. Это создаёт риски кражи сессионных данных, выполнения действий от имени пользователя и иных сценариев, характерных для XSS-атак. Уязвимость оценена в 4.8 балла по шкале CVSS, что соответствует среднему уровню опасности (MEDIUM). Сведения о конкретных затронутых версиях приложения Repasat в записи CVE не приводятся, поэтому организациям, использующим данный продукт, следует самостоятельно уточнить у вендора перечень уязвимых релизов и наличие исправлений.Что делать
Для снижения рисков рекомендуется следующий комплекс мер: - Проверить наличие обновлений для приложения Repasat и установить их незамедлительно после публикации вендором. Приоритет — исправления, устраняющие XSS в параметре «nomOrigen» эндпоинта «/es/origins/store». - Если официального патча на момент прочтения нет, обратиться к поставщику решения за информацией о сроках выпуска исправления и доступных компенсирующих мерах. - В качестве временной митигации ограничить доступ к уязвимому эндпоинту на уровне WAF или reverse-proxy, настроив фильтрацию подозрительных значений параметра «nomOrigen» и блокировку попыток внедрения скриптов. - Обеспечить строгую валидацию и экранирование пользовательского ввода на стороне сервера, а также применение политики Content Security Policy (CSP) для снижения последствий возможных XSS-атак. - Провести проверку журналов доступа к эндпоинту «/es/origins/store» на предмет попыток эксплуатации и при выявлении подозрительной активности — инициировать процедуры реагирования на инциденты.Итог
CVE-2026-59666 — уязвимость среднего уровня опасности в приложении Repasat, связанная с XSS в параметре «nomOrigen». Несмотря на умеренную оценку CVSS, такого рода дефекты несут прямые риски для пользователей и требуют оперативной реакции: своевременного обновления продукта, ограничения доступа к уязвимому эндпоинту и усиления контроля входных данных. До выпуска официального исправления целесообразно применять компенсирующие меры защиты на периметре.Источник: CVE Project (cvelistV5)