# CERT Polska opisał podatność Stored XSS w KGS Software tia Viewer, poprawka jest w wersji 1.2.8 CERT Polska opublikował 27 października 2026 r. opis podatności CVE-2026-105987 w KGS Software tia Viewer. Dotyczy wszystkich wersji przed 1.2.8 i pozwala wstrzyknąć kod JavaScript przez API adnotacji. - Adres: - Rodzaj: Streszczenie - Data publikacji: 27.10.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [CERT Polska](https://cert.pl/posts/2026/10/CVE-2026-105987/) (27 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) CERT Polska opisał podatność CVE-2026-105987 w oprogramowaniu KGS Software tia Viewer. Dotyczy ona wszystkich wersji przed 1.2.8. Zgłoszenie trafiło do CERT Polska, który uczestniczył w koordynacji procesu jej ujawnienia. Za zgłoszenie CERT Polska dziękuje Dawidowi Dudkowi (4c1d8urn). Według opisu tia Viewer jest podatny na atak typu Stored XSS poprzez API adnotacji. Aplikacja nie waliduje danych wejściowych, więc uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript do adnotacji typu `stickynote`. Gdy dowolny użytkownik otworzy dokument, aplikacja renderuje adnotację, a przeglądarka wykonuje wstrzyknięty kod. CERT Polska wskazuje, że może to prowadzić do przejęcia sesji użytkownika. Podatność jest sklasyfikowana jako CWE-79. Jeśli w Twojej organizacji działa tia Viewer, sprawdź, w jakiej jest wersji, i ustal, kto ma do niego dostęp. Atak wymaga konta uwierzytelnionego użytkownika, więc ta lista pokazuje, kto mógłby dodać złośliwą adnotację. Problem został naprawiony w wersji **1.2.8**, więc starsze instalacje wymagają aktualizacji. ## Pojęcia w tym tekście - [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [XSS](https://pelnomocnikcyber.pl/slownik/xss/): Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 27 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.