Множественные уязвимости в приложении Repasat: CVE-2026-59667
В приложении Repasat выявлена уязвимость класса Cross-Site Scripting (XSS), затрагивающая параметр “nomTamano” эндпоинта “/es/companysizemployees/update”. Успешная эксплуатация позволяет злоумышленнику выполнить произвольный код в браузере жертвы. Уровень опасности по CVSS — 4.8 (MEDIUM).
Подробности
Уязвимость класса Cross-Site Scripting выявлена в приложении Repasat. Согласно описанию, проблема локализована в параметре “nomTamano” эндпоинта “/es/companysizemployees/update”. Из-за недостаточной нейтрализации входных данных злоумышленник может внедрить вредоносный код, который будет выполнен в браузере пользователя при обработке специально сформированного запроса. Успешная эксплуатация уязвимости позволяет атакующему обманом заставить пользователя выполнить произвольный код в контексте его браузера. Это создаёт риски для конфиденциальности данных, а также может привести к несанкционированным действиям от имени пользователя в уязвимом приложении. Уязвимости присвоен базовый балл CVSS 4.8, что соответствует уровню MEDIUM (средний). Затронуты версии приложения Repasat в рамках указанного продукта; конкретный диапазон уязвимых версий в записи CVE не детализирован.Что делать
Для снижения рисков рекомендуется:- Проверить наличие обновлений для приложения Repasat у поставщика и установить актуальную версию, в которой устранена уязвимость;
- Если официальное исправление недоступно, рассмотреть временные компенсирующие меры: ограничение доступа к эндпоинту “/es/companysizemployees/update”, усиление валидации и экранирования входных данных на стороне сервера, а также настройку политики Content Security Policy (CSP);
- Провести проверку журналов на предмет подозрительных запросов к указанному эндпоинту с необычными значениями параметра “nomTamano”;
- Ограничить круг пользователей, имеющих доступ к административным и служебным разделам приложения.
Источник: CVE Project (cvelistV5)