Cockpit - Content Platform vulnerable to XSS through name or email argument names
A vulnerability was found in Cockpit versions up to 2.11.3. This issue affects some unknown processing instances of the file /system/users/save. The manipulation of the arguments "name" or "email" leads to cross-site scripting. The attack may be initiated remotely. Upgrading to version 2.11.4 will address this issue. It is recommended to upgrade the affected component. The vendor was contacted early about this disclosure and acted accordingly. A patch and new release were made available very quickly.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | cockpit-hq/cockpit | < 2.11.4 | 2.11.4 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2025-7053
- https://github.com/Cockpit-HQ/Cockpit/commit/bdcd5e3bc651c0839c7eea807f3eb6af856dbc76
- https://github.com/Cockpit-HQ/Cockpit
- https://github.com/Cockpit-HQ/Cockpit/releases/tag/2.11.4
- https://vuldb.com/?ctiid.314819
- https://vuldb.com/?id.314819
- https://vuldb.com/?submit.605594
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N- Słabość (CWE)
CWE-79- Platforma
- Composer
- Paczka
cockpit-hq/cockpit- Ujawniono
- 04.07.2025
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-j4rj-fgcq-wmqp - CC BY 4.0
Historia podatności: cockpit-hq/cockpit
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 26
- Pierwsza → ostatnia
- 08.2022 05.2026
- Bez poprawki
- 9
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 3
- Wysoka 13
- Średnia 9
- Niska 1
Ujawnienia w latach
- 2022: 1
- 2023: 15
- 2024: 2
- 2025: 2
- 2026: 6
-
Cockpit - Content Platform vulnerable to XSS through name or email argument names ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.