Blog 24/7
ARK. 1 · 1 min czytaniaPolska ·

KGS Software tia Viewer z luką Stored XSS CVE-2026-105987, poprawka w wersji 1.2.8

Luka CVE-2026-105987 w KGS Software tia Viewer pozwala zalogowanemu napastnikowi umieścić kod JavaScript w adnotacji i przejąć sesję użytkownika. Producent naprawił ją w wersji 1.2.8.

Karta wpisu: KGS Software tia Viewer z luką Stored XSS CVE-2026-105987, poprawka w wersji 1.2.8

W oprogramowaniu KGS Software tia Viewer jest podatność CVE-2026-105987 typu Stored XSS. Producent naprawił ją w wersji 1.2.8. CERT Polska otrzymał zgłoszenie i koordynował ujawnienie luki. Aplikacja nie sprawdza danych wejściowych, więc uwierzytelniony atakujący może przez API adnotacji wstrzyknąć dowolny kod JavaScript do adnotacji typu stickynote. Gdy dowolny użytkownik otworzy dokument, aplikacja wyświetla adnotację, a przeglądarka wykonuje wstrzyknięty kod. Może to prowadzić do przejęcia sesji użytkownika. Podatność zgłosił Dawid Dudek.

Kogo dotyczy

Podatność dotyczy użytkowników KGS Software tia Viewer w wersjach starszych niż 1.2.8, w której ją naprawiono. Atakujący musi mieć konto w aplikacji. Ofiarą może zostać każdy użytkownik, który otworzy dokument ze spreparowaną adnotacją.

Co zrobić

Zaktualizować KGS Software tia Viewer do wersji 1.2.8, w której producent usunął problem.

TAB. 2

Źródła

1
CERT Polska — Podatność w oprogramowaniu KGS Software tia Viewercert.pl
TAB. 3

Powiązane

3
04.11.2026PolskaFałszywe kupony Rossmanna prowadzą do subskrypcji za kilkaset złotych
04.11.2026PolskaFałszywa karta Rossmanna za 2000 zł kończy się subskrypcją 12,30 zł co 7 dni
04.11.2026PolskaWyciek danych klientów sklepu Muve.pl przez lukę w aplikacji do obsługi płatności

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com