Stored XSS в T-Systems TAO 2.0 (CVE-2026-92976)

В линейке корпоративных решений T-Systems TAO 2.0 обнаружена уязвимость хранимого межсайтового скриптинга (Stored Cross-Site Scripting). Проблема затрагивает функциональность управления профилями и позволяет внедрять произвольный код, который сохраняется на стороне приложения и выполняется при просмотре затронутого профиля другими пользователями.

Подробности

Уязвимость получила идентификатор CVE-2026-92976 и оценку CVSS 5.1, что соответствует среднему уровню опасности. Уязвимый продукт — T-Systems TAO, версия 2.0. Механизм эксплуатации связан с недостаточной очисткой (санитизацией) пользовательского ввода. Аутентифицированный пользователь может поместить вредоносный HTML- или JavaScript-код в поля, содержащие его персональные данные. Этот контент сохраняется в системе и впоследствии отображается без должной обработки, когда другой пользователь — в том числе сотрудник с административными правами — открывает соответствующий профиль. Успешная эксплуатация позволяет выполнить JavaScript-код в браузере жертвы. Это открывает возможность доступа к информации, доступной в рамках текущей сессии, а также выполнения действий от имени пострадавшего пользователя с его правами. Поскольку целью может стать и административный персонал, последствия компрометации потенциально выходят за рамки одного аккаунта. Отметим, что для эксплуатации требуется наличие действующей учётной записи в системе, поэтому вектор атаки предполагает предварительную аутентификацию. Тем не менее, хранимый характер уязвимости означает, что полезная нагрузка сохраняется и может срабатывать многократно при каждом просмотре заражённого профиля.

Что делать

Основная рекомендация — проверить наличие обновлений для T-Systems TAO 2.0 у поставщика и установить исправленную версию, как только она станет доступна. Официальный патч является наиболее надёжным способом устранения проблемы. Если обновление пока недоступно, стоит рассмотреть временные компенсирующие меры: - ограничить круг пользователей, имеющих доступ к просмотру чужих профилей, до минимально необходимого; - усилить контроль вводимых данных на стороне приложения, если есть возможность влиять на конфигурацию фильтрации; - применять строгую политику Content Security Policy (CSP), снижающую риск выполнения внедрённого скрипта; - включить дополнительный мониторинг действий в профильном модуле и логирование подозрительной активности; - провести разъяснительную работу с администраторами о рисках открытия подозрительных профилей до устранения уязвимости. Также целесообразно провести проверку уже сохранённых профилей на предмет наличия внедрённого кода и очистить подозрительные записи. Итог: CVE-2026-92976 — это хранимая XSS-уязвимость среднего уровня риска в T-Systems TAO 2.0, требующая аутентификации для эксплуатации, но способная затронуть в том числе привилегированных пользователей. Ключевая мера защиты — своевременное обновление продукта и временные ограничительные меры до выхода патча.

Источник: CVE Project (cvelistV5)