Обнаружена критическая уязвимость внедрения HTML в ПО Bdtask Isshue
INCIBE-CERT предупреждает о критической уязвимости в Bdtask Isshue, позволяющей злоумышленникам внедрять вредоносные скрипты и похищать данные.
Уязвимость внедрения HTML выявлена в ПО Bdtask Isshue
Мадрид, Испания – 19 января 2026 г. – INCIBE-CERT выпустил предупреждение о критической уязвимости внедрения HTML в Bdtask Isshue, популярном программном обеспечении для отслеживания задач и управления проектами. Эксплуатация данной уязвимости может позволить злоумышленникам выполнять вредоносные скрипты в браузерах пользователей, что приведет к потенциальной краже данных или угону сессий.
Технические детали
Уязвимость возникает из-за недостаточной проверки входных данных в приложении Isshue, что позволяет злоумышленникам внедрять произвольный HTML- или JavaScript-код в веб-страницы. При взаимодействии ничего не подозревающих пользователей с зараженным интерфейсом вредоносный скрипт выполняется в контексте их браузера, что способствует:
- Атакам межсайтового скриптинга (XSS)
- Краже сессионных cookie-файлов
- Фишингу или перенаправлению на вредоносные сайты
- Изменению внешнего вида веб-интерфейсов (дефейсу)
На момент публикации CVE ID этой уязвимости не присвоен. INCIBE-CERT классифицировал риск как высокий из-за потенциала широкомасштабной эксплуатации в корпоративных средах.
Анализ последствий
Организации, использующие Bdtask Isshue для управления проектами или отслеживания задач, подвергаются риску:
- Несанкционированного доступа к конфиденциальным данным через украденные сессионные токены
- Компрометации учетных записей пользователей посредством сбора учетных данных
- Ущерба репутации из-за дефейса или манипуляции веб-интерфейсами
- Нарушения соответствия требованиям в случае эксплуатации для эксфильтрации регулируемых данных
Особую озабоченность вызывает использование Isshue командами для внутреннего сотрудничества, так как уязвимость может служить точкой входа для более широкого компрометации сети.
Рекомендации
INCIBE-CERT советует специалистам по безопасности предпринять следующие меры:
- Немедленно установить патчи, как только Bdtask выпустит обновление для устранения уязвимости.
- Внедрить заголовки Content Security Policy (CSP) для снижения рисков XSS-атак.
- Мониторить веб-трафик на предмет необычного выполнения скриптов или исходящих соединений.
- Обучить пользователей распознавать фишинговые попытки или подозрительные ссылки.
- Ограничить доступ к экземплярам Isshue доверенными сетями до завершения исправления.
Для получения дополнительной информации обратитесь к оригинальному бюллетеню INCIBE-CERT.
Это развивающаяся ситуация. Обновления будут предоставляться по мере поступления новой информации.