Stored XSS в портале CustomerAdministration (KundenManager) VertiGIS WebOrderSystem — CVE-2026-4950
В портале CustomerAdministration (KundenManager) системы VertiGIS WebOrderSystem обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS). Аутентифицированный привилегированный пользователь может внедрить JavaScript-код в свойства учётной записи, который затем выполняется в браузере других пользователей портала. Уровень опасности — средний (CVSS 4.8).
Подробности
Портал CustomerAdministration (KundenManager) предназначен для управления сотрудниками компаний (пользовательских групп) и доступен привилегированным пользователям. При редактировании учётной записи такие параметры, как «secondName», не проходят достаточной очистки и могут быть заполнены JavaScript-кодом. Внедрённый код сохраняется в системе и выполняется в браузере любого другого привилегированного пользователя, который откроет отредактированную запись или общий список пользователей соответствующей группы. Таким образом, аутентифицированный злоумышленник с доступом к порталу может выполнять произвольный сценарий в сессии других пользователей портала — например, для кражи данных или выполнения действий от их имени. Уязвимости присвоен базовый балл CVSS 4.8, что соответствует среднему уровню опасности. По информации исследователей, проблема подтверждена в версии 7.0.8.6 — последней доступной на момент тестирования. Сведения о других затронутых версиях производитель не предоставил.Что делать
Рекомендуется следить за официальными публикациями VertiGIS и при выпуске обновления, устраняющего CVE-2026-4950, установить его в приоритетном порядке. До выхода патча целесообразно ограничить круг пользователей с доступом к порталу CustomerAdministration (KundenManager) и пересмотреть права привилегированных учётных записей, оставив их только тем сотрудникам, кому они действительно необходимы. Дополнительной мерой защиты может стать применение политики Content Security Policy, снижающей возможность выполнения внедрённого скрипта, а также внимательный контроль содержимого полей профилей пользователей. Стоит также учесть, что компрометация сессии привилегированного пользователя может привести к дальнейшему расширению доступа, поэтому следует отслеживать подозрительную активность в портале. Итог: CVE-2026-4950 — это уязвимость хранимого XSS среднего уровня опасности в портале администрирования клиентов VertiGIS WebOrderSystem. Основная мера защиты — своевременное обновление продукта и минимизация числа привилегированных пользователей портала.Источник: CVE Project (cvelistV5)