PT-2026-30738 · Unknown · Ocsinventory-Server

Charleneauger · Publicado 2026-04-06 · Atualizado 2026-04-06 · CVE-2026-22675

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions OCS Inventory NG Server versões 2.12.3 e anteriores

Description OCS Inventory NG Server versões 2.12.3 e anteriores contêm uma vulnerabilidade de scripting entre sites armazenado. Atacantes não autenticados podem executar JavaScript arbitrário enviando cabeçalhos HTTP User-Agent maliciosos para o endpoint da API /ocsinventory. Os invasores podem registrar agentes fraudulentos ou criar solicitações com valores User-Agent maliciosos. Esses valores são armazenados sem a devida higienização e renderizados com codificação insuficiente no console da web, levando à execução de JavaScript arbitrário nos navegadores de usuários autenticados que visualizam o painel de estatísticas.

Recommendations Atualize o OCS Inventory NG Server para uma versão posterior à 2.12.3.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-22675

Produtos afetados

Ocsinventory-Server

Referências · 10

• https://github.com/OCSInventory-NG/OCSInventory-Server/pull/483 · Nota
• https://github.com/OCSInventory-NG/OCSInventory-Server/commit/78faf2ca8b897141ba4d337d75692ab8e405bd4e · Correção
• https://twitter.com/CVEnew/status/2041282882354991440 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-22675 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-22675 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-22675 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-22675 · Nota de Segurança
• https://vulncheck.com/advisories/ocs-inventory-ng-server-stored-xss-via-user-agent · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-22675 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-22675 · Aviso do Fabricante