Stored XSS в OrderAdministration Portal VertiGIS WebOrderSystem (CVE-2026-4952)
В веб-интерфейсе ASMobile, входящем в состав программного пакета VertiGIS «GIS Portal», выявлена уязвимость хранимого межсайтового скриптинга (Stored XSS). Проблема затрагивает процесс обработки заказов и может привести к выполнению произвольного JavaScript-кода в браузере привилегированного сотрудника.
Подробности
Уязвимость зарегистрирована под идентификатором CVE-2026-4952 и получила оценку CVSS 5.1 (MEDIUM). Уязвимый продукт — VertiGIS Ltd. WebOrderSystem (AuftragsManager). Согласно описанию, веб-интерфейс «ASMobile», являющийся частью пакета «GIS Portal», позволяет аутентифицированным пользователям задавать поле «business reference» (бизнес-ссылка). В это поле можно внедрить JavaScript-код. Сам по себе ввод кода затрагивает только того пользователя, который его ввёл (self-XSS), однако бизнес-ссылка включается в детали заказа при его размещении через веб-интерфейс. Заказ впоследствии отображается в портале OrderAdministration (AuftragsManager) системы VertiGIS WebOrderSystem, где сохранённый код выполняется, как только заказ открывает пользователь с высокими привилегиями.
По данным исследователей, уязвимой является версия WebOrderSystem 7.0.8.6 — последняя доступная на момент тестирования. Информацию о других затронутых версиях производитель не предоставил. Таким образом, эксплуатировать уязвимость может прошедший аутентификацию пользователь, а цель атаки — привилегированный сотрудник, работающий с заказами в административном портале.
Что делать
Рекомендации по снижению риска:
- Уточнить у вендора VertiGIS наличие исправленной версии WebOrderSystem и выполнить обновление после её выпуска.
- Ограничить круг пользователей, имеющих доступ к полю «business reference» в интерфейсе ASMobile, и пересмотреть права доступа к OrderAdministration Portal (AuftragsManager) по принципу минимальных привилегий.
- Организовать проверку и валидацию содержимого поля бизнес-ссылки на стороне приложения, а также применять корректное экранирование выводимых данных.
- Рассмотреть внедрение строгой Content Security Policy (CSP) для веб-интерфейсов, чтобы ограничить выполнение внедрённых скриптов.
- Включить мониторинг и логирование действий пользователей в административном портале для раннего выявления подозрительной активности.
Поскольку информация о дополнительных затронутых версиях отсутствует, организациям, использующим WebOrderSystem, следует самостоятельно проверить актуальность установленных версий и обратиться к вендору за разъяснениями.
Итог: CVE-2026-4952 — уязвимость хранимого XSS средней критичности, которая позволяет аутентифицированному пользователю внедрить код через поле бизнес-ссылки, а затем выполнить его в сессии привилегированного сотрудника, открывающего заказ в OrderAdministration Portal. До выпуска исправления ключевыми мерами защиты остаются ограничение прав доступа, валидация и экранирование данных, а также строгая CSP.
Источник: CVE Project (cvelistV5)