CVE-2026-3010

Podatność polega na braku właściwego filtrowania i kodowania danych wejściowych przed ich osadzeniem w generowanych stronach HTML aplikacji TimePictra. Atakujący może wstrzyknąć złośliwy kod skryptowy (np. JavaScript), który zostanie wykonany w przeglądarce ofiary. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika po stronie atakującego, a wektorem jest sieć (AV:N), co oznacza możliwość przeprowadzenia go zdalnie. Typ podatności wskazuje na możliwość odpytywania systemu o informacje (Query System for Information) przy użyciu spreparowanych zapytań.

Atakujący może uzyskać dostęp do poufnych informacji w kontekście przeglądarki ofiary (np. ciasteczka sesji, tokeny uwierzytelniające) oraz dokonać nieautoryzowanych operacji w imieniu zalogowanego użytkownika, a także potencjalnie odczytać lub zmodyfikować dane prezentowane przez aplikację.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Informacje o aktualizacjach dostępne są pod adresem: https://www.microchip.com/en-us/solutions/technologies/embedded-security/how-to-report-potential-product-security-vulnerabilities/timepictra-stored-cross-site-scripting

Microchip TimePictra w wersjach od 11.0 do 11.3 SP2 (włącznie).

Opis producenta wskazuje na podatność typu Stored XSS (stored cross-site scripting) zgodnie z tytułem strony referencyjnej. CVE posiada identyfikator z roku 2026, a data publikacji to 2026-02-28.