Уязвимость XSS в Blood_Bank_Management_System (CVE-2026-111942)
В веб-приложении hrisikeshpal Blood_Bank_Management_System 1.0.0 обнаружена уязвимость межсайтового скриптинга (XSS) в файле /abs.php. Атака возможна удалённо через параметр Search, эксплойт уже опубликован. Уровень опасности — средний (CVSS 5.3).
Подробности
Уязвимость возникает при обработке аргумента Search в файле /abs.php: приложение не выполняет должную нейтрализацию входных данных, что позволяет внедрить вредоносный скрипт. Уязвимая функция в описании CVE не уточняется. Атака может быть инициирована удалённо, что повышает практическую ценность проблемы для злоумышленников. Уязвимости присвоен идентификатор CVE-2026-111942 и оценка CVSS 5.3 (MEDIUM). По данным CVE-записи, публичный эксплойт уже доступен, поэтому уязвимость может применяться в реальных атаках. Разработчику проекта проблема была заранее сообщена через issue-репорт, однако реакции от сопровождающих на момент публикации не последовало. Это означает, что официального патча может не существовать, и пользователям следует самостоятельно оценить риски эксплуатации приложения.Что делать
Поскольку патч на момент публикации отсутствует, рекомендуется:- ограничить доступ к файлу /abs.php и административным интерфейсам приложения, не публиковать их в открытом интернете;
- разместить приложение за WAF или обратным прокси с фильтрацией вредоносных payload;
- проводить валидацию и экранирование параметра Search на стороне сервера, если есть возможность внести правки в код;
- следить за обновлениями проекта и оперативно установить патч, когда он появится;
- рассмотреть переход на поддерживаемую альтернативу, если проект не развивается.
Источник: CVE Project (cvelistV5)