| CVE ID | CVE-2026-105987 |
| Data publikacji | 27 października 2026 |
| Producent podatnego oprogramowania | KGS Software |
| Nazwa podatnego oprogramowania | tia Viewer |
| Podatne wersje | Wszystkie przed 1.2.8 |
| Typ podatności (CWE) | Improper neutralization of input during web page generation ('cross-site scripting') (CWE-79) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie dotyczące podatności w oprogramowaniu KGS Software tia Viewer i uczestniczył w koordynacji procesu jej ujawnienia.
Podatność CVE-2026-105987: Oprogramowanie KGS Software tia Viewer jest podatne na atak typu Stored XSS poprzez API adnotacji. Ze względu na brak walidacji danych wejściowych, uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript do adnotacji typu stickynote. Po otwarciu dokumentu przez dowolnego użytkownika, aplikacja renderuje adnotację, a przeglądarka wykonuje wstrzyknięty kod. Może to prowadzić do przejęcia sesji użytkownika.
Problem został naprawiony w wersji 1.2.8.
Podziękowania
Za zgłoszenie podatności dziękujemy Dawidowi Dudkowi (4c1d8urn).
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.