| CVE ID | CVE-2026-1630 |
| Data publikacji | 14 maja 2026 |
| Producent podatnego oprogramowania | WEBCON |
| Nazwa podatnego oprogramowania | WEBCON BPS |
| Podatne wersje | Od 2026.1.1.45 poniżej 2026.1.3.109 Od 2025.1.1.87 poniżej 2025.2.1.293 |
| Typ podatności (CWE) | Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') (CWE-79) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu WEBCON BPS i koordynował proces ujawniania informacji.
Podatność CVE-2026-1630: WEBCON BPS jest podatny na atak typu Reflected XSS poprzez jeden z parametrów używanych przez endpoint /openinmobileapp. Atakujący może wysłać specjalnie spreparowany adres URL, którego otwarcie przez uwierzytelnionego użytkownika skutkuje wykonaniem dowolnego kodu JavaScript w przeglądarce ofiary.
Ta podatność została naprawiona w wersjach 2026.1.3.109 oraz 2025.2.1.293.
Podziękowania
Za zgłoszenie podatności dziękujemy Konradowi Szczepaniakowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.