Уязвимость XSS в SourceCodester Drug Recommendation System (CVE-2026-94033)

В начале апреля 2026 года в базе CVE Project была опубликована информация об уязвимости CVE-2026-94033, затрагивающей веб-приложение SourceCodester Drug Recommendation System версии 1.0. Проблема относится к классу межсайтового скриптинга (Cross-Site Scripting, XSS) и локализована в компоненте User Management.

Подробности

Уязвимость затрагивает файл /drug_recommender/Admin/add_user — обработчик, отвечающий за добавление новых пользователей в административной панели. Причиной стало отсутствие должной нейтрализации (санитизации) пользовательского ввода в аргументах txtname, txtemail и txtpassword. Злоумышленник, передав в эти поля специально сформированные payload-строки, может внедрить произвольный JavaScript-код, который затем выполнится в браузере другого пользователя (например, администратора) при просмотре страницы. Атака может быть проведена удалённо (вектор AV:N), что повышает уровень риска. На момент публикации записи эксплойт уже раскрыт широкой публике (E:P), то есть уязвимость находится в зоне активного практического интереса атакующих. Согласно векторам CVSS, эксплуатация требует взаимодействия со стороны пользователя (UI:R) и наличия некоторых привилегий (PR:L), при этом целостность и конфиденциальность данных страдают частично. Итоговая базовая оценка — 5.1 (MEDIUM). Следует отметить, что точная версия компонента и полный перечень затронутых сборок в записи не детализированы: проблема описана для SourceCodester Drug Recommendation System 1.0, однако не исключено, что она присутствует и в более поздних сборках, если в них не проводилась соответствующая доработка кода.

Что делать

Поскольку официальный патч в записи не упоминается, организациям, использующим данное приложение, рекомендуется принять следующие меры:

• Ограничить доступ к административной панели /drug_recommender/Admin/ средствами сетевого периметра (VPN, IP-allowlist), сократив поверхность атаки;
• Внедрить серверную санитизацию и валидацию входных данных для полей txtname, txtemail, txtpassword, а также настроить вывод с экранированием HTML-спецсимволов;
• Развернуть строгую политику Content Security Policy (CSP), блокирующую выполнение инлайновых скриптов;
• Установить актуальные сигнатуры WAF для детектирования XSS-payload'ов в запросах к add_user;
• Следить за обновлениями от вендора SourceCodester и оперативно применять исправления;
• Провести аудит журналов веб-сервера на предмет подозрительных POST-запросов к уязвимому эндпоинту.

Учитывая наличие публичного эксплойта, медлить с митигациями не стоит: даже при средней оценке CVSS XSS в административной панели способен привести к краже сессионных токенов и последующей компрометации учётных записей с расширенными правами. Итог: CVE-2026-94033 — классический пример того, как недостаточная обработка пользовательского ввода в административных интерфейсах создаёт реальный вектор атаки. Владельцам SourceCodester Drug Recommendation System 1.0 следует рассматривать уязвимость как приоритетную для устранения.

Источник: CVE Project (cvelistV5)