CERT Polska opisał podatność Stored XSS w KGS Software tia Viewer, poprawka jest w wersji 1.2.8
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
CERT Polska opublikował 27 października 2026 r. opis podatności CVE-2026-105987 w KGS Software tia Viewer. Dotyczy wszystkich wersji przed 1.2.8 i pozwala wstrzyknąć kod JavaScript przez API adnotacji.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opisał podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-105987 w oprogramowaniu KGS Software tia Viewer. Dotyczy ona wszystkich wersji przed 1.2.8. Zgłoszenie trafiło do CERT Polska, który uczestniczył w koordynacji procesu jej ujawnienia. Za zgłoszenie CERT Polska dziękuje Dawidowi Dudkowi (4c1d8urn).
Według opisu tia Viewer jest podatny na atak typu Stored XSSXSS Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji. poprzez API adnotacji. Aplikacja nie waliduje danych wejściowych, więc uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript do adnotacji typu stickynote. Gdy dowolny użytkownik otworzy dokument, aplikacja renderuje adnotację, a przeglądarka wykonuje wstrzyknięty kod. CERT Polska wskazuje, że może to prowadzić do przejęcia sesji użytkownika. Podatność jest sklasyfikowana jako CWE-79.
Jeśli w Twojej organizacji działa tia Viewer, sprawdź, w jakiej jest wersji, i ustal, kto ma do niego dostęp. Atak wymaga konta uwierzytelnionego użytkownika, więc ta lista pokazuje, kto mógłby dodać złośliwą adnotację. Problem został naprawiony w wersji 1.2.8, więc starsze instalacje wymagają aktualizacji.
Pojęcia w tym tekście (3)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- XSS
- Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji.