MEDIUM🇵🇱 Wersja polska

CVE-2026-53907

CVSS 4.8v4.0pub. 2026-07-01upd. 2026-07-06

MCO is vulnerable to Stored Cross‑Site Scripting (XSS) via the application logo upload functionality. An attacker with the ability to change the application logo can upload a crafted SVG file containing malicious JavaScript code that is executed when the logo is rendered or opened. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version 25.3.3.1 but may also affect other versions.

CVSS Vector
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

  • Mycomplianceoffice

    APP
    Mycomplianceoffice
    25.3.3.1
🔵
CHECK WITH VENDOR
No clear patch data available. Check vendor references.
Tags
XSS
CWE
References

Related vulnerabilities

CVE-2026-53902HIGH7.1PL ✓same product

MyComplianceOffice — nieautoryzowana eskalacja uprawnień poprzez manipulację członkostwem w grupach

CVE-2026-53903MEDIUM5.3same product

MCO jest podatny na lukę Insecure Direct Object Reference (IDOR) w endpoincie /customer/servlet/mco/webapi/tra...

CVE-2026-53905MEDIUM5.3same product

MCO nie egzekwuje prawidłowo kontroli autoryzacji w endpoincie /customer/servlet/mco/webapi/admin-view-hierarc...

CVE-2026-53906MEDIUM5.1same product

MCO jest podatne na Path Disclosure i Path Traversal w funkcjonalności obsługi plików związanej z eksportem i ...

CVE-2026-53908MEDIUM6.9same product

MCO jest podatny na User Enumeration poprzez funkcjonalności związane z uwierzytelnianiem. Aplikacja zwraca ro...