Stored XSS в OpenCATS до 0.12.0 через панель MRU (CVE-2026-115513)

В системе управления взаимоотношениями с кандидатами и рекрутингом OpenCATS выявлена уязвимость хранимого межсайтового скриптинга (Stored XSS), получившая идентификатор CVE-2026-115513. Проблема затрагивает версии продукта до 0.12.0 и представляет особую опасность из-за возможности повышения привилегий вплоть до полного административного контроля.

Подробности

Уязвимость присутствует в функциональности панели быстрого доступа «Recent» (MRU — most recently used), которая отображается практически на каждой странице приложения. Обработка данных в компоненте lib/MRU.php (функция getFormatted()) не выполняет экранирование перед выводом в HTML.

Аутентифицированный пользователь с низкими привилегиями может установить в поля имени или заголовка таких сущностей, как Candidate, Company, Contact, Job Order или List, специально сформированную строку с HTML/JavaScript-кодом. Значение сохраняется без санитизации, а затем отрисовывается без экранирования в панели MRU. В результате при просмотре записи любым другим пользователем — в том числе Site Administrator — вредоносный скрипт выполняется в контексте его сессии.

Эксплуатация позволяет злоумышленнику похищать сессионные данные и cookie, выполнять действия от имени более привилегированных пользователей и в итоге получить полный административный контроль над системой. Уязвимости присвоена оценка CVSS 6.3 (MEDIUM). Затронут продукт OpenCATS версий до 0.12.0.

Что делать

Основная рекомендация — обновить OpenCATS до версии 0.12.0 или более поздней, где проблема устранена. Перед обновлением следует проверить наличие актуальных резервных копий базы данных и файлов приложения.

Если немедленное обновление невозможно, рекомендуется применить компенсирующие меры: ограничить круг пользователей, имеющих право создавать и редактировать записи Candidate, Company, Contact, Job Order и List; усилить контроль за учётными записями с низкими привилегиями; рассмотреть возможность временного отключения или ограничения отображения панели MRU. Дополнительно стоит настроить строгую политику Content Security Policy (CSP) для снижения риска выполнения внедрённого скрипта и обеспечить мониторинг подозрительной активности в журналах приложения.

Уязвимость CVE-2026-115513 демонстрирует, насколько опасным может быть хранимый XSS в компонентах, отображаемых на каждой странице: даже пользователь с минимальными правами способен атаковать администратора и захватить контроль над системой. Своевременное обновление до OpenCATS 0.12.0 и ограничение привилегий пользователей существенно снижают риск эксплуатации.

Источник: CVE Project (cvelistV5)