Opis podatności
CERT Polska otrzymał zgłoszenie dotyczące podatności w oprogramowaniu KGS Software tia Viewer i uczestniczył w koordynacji procesu jej ujawnienia.
Podatność CVE-2026-105987: Oprogramowanie KGS Software tia Viewer jest podatne na atak typu Stored XSS poprzez API adnotacji. Ze względu na brak walidacji danych wejściowych, uwierzytelniony atakujący może wstrzyknąć dowolny kod JavaScript do adnotacji typu stickynote. Po otwarciu dokumentu przez dowolnego użytkownika, aplikacja renderuje adnotację, a przeglądarka wykonuje wstrzyknięty kod. Może to prowadzić do przejęcia sesji użytkownika.
Problem został naprawiony w wersji 1.2.8.
Podziękowania
Za zgłoszenie podatności dziękujemy Dawidowi Dudkowi (4c1d8urn).
