| CVE ID | CVE-2026-21730 |
| Data publikacji | 14 maja 2026 |
| Producent podatnego oprogramowania | Verint |
| Nazwa podatnego oprogramowania | Verba |
| Podatne wersje | Wszystkie poniżej 10.0.6 |
| Typ podatności (CWE) | Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') (CWE-79) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Verint Verba i koordynował proces ujawniania informacji.
Podatność CVE-2026-21730: Verba jest podatna na ataki typu Stored XSS w mechanizmie logowania prób logowania. Gdy zdalny, nieuwierzytelniony atakujący spróbuje się zalogować, używając niepoprawnej kombinacji nazwy użytkownika i hasła, nazwa użytkownika zostaje zapisana w logach aplikacji. Z powodu braku sanityzacji danych wejściowych atakujący może wstrzyknąć złośliwy payload w polu nazwy użytkownika. Payload zostanie wykonany w kontekście przeglądarki administratora w momencie, gdy administrator otworzy widok logów aplikacji.
Problem został naprawiony w wersji 10.0.6.
Podziękowania
Za zgłoszenie podatności dziękujemy Janowi Czerlunczakiewiczowi (STM Cyber).
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.