VertiGIS WebOrderSystem พบ XSS 3 จุดในหน้าจัดการผู้ใช้และคำสั่งซื้อ ยังไม่ระบุเวอร์ชันแก้

SEC Consult เปิดเผยช่องโหว่ cross-site scripting (XSS) สามจุดใน VertiGIS WebOrderSystem เมื่อ 22 ตุลาคม 2026 ส่วนระเบียน CVE-2026-4950, CVE-2026-4951 และ CVE-2026-4952 เผยแพร่ครั้งแรกในวันที่ 23 ตุลาคม 2026 ทั้งสามกรณีเกี่ยวข้องกับหน้าจัดการงานที่ผู้มีสิทธิ์สูงใช้ จึงควรตรวจว่าระบบขององค์กรเปิดใช้ KundenManager หรือ AuftragsManager อยู่หรือไม่ก่อนประเมินความเสี่ยง

ขอบเขตที่ยืนยันได้

ผู้วิจัยทดสอบ WebOrderSystem เวอร์ชัน 7.0.8.6 ซึ่งเป็นเวอร์ชันล่าสุดที่เข้าถึงได้ในช่วงทดสอบ และพบว่ามีช่องโหว่ทั้งสามรายการ ระเบียน CVE ระบุเวอร์ชันถึง 7.0.8.6 ว่าได้รับผลกระทบ แต่ผู้ผลิตไม่ได้ยืนยันขอบเขตของเวอร์ชันอื่นเพิ่มเติม จึงไม่ควรสรุปว่าเวอร์ชันที่ใหม่กว่าปลอดภัยหรือเวอร์ชันเก่าทุกตัวมีพฤติกรรมเหมือนกันโดยไม่ทดสอบระบบจริง

ข่าวนี้มีข้อจำกัดสำคัญ: ณ วันที่เผยแพร่คำแนะนำของ SEC Consult ผู้ผลิตยังไม่แจ้งหมายเลขเวอร์ชันแก้ไขสำหรับ WebOrderSystem และไม่ได้แจ้งวันที่นำการแก้ไขออกใช้ ผู้ผลิตบอกผู้วิจัยว่าจะรวมการแก้ไขใน LM Explorer แต่ไม่มีรายละเอียดเวอร์ชันหรือวันที่ให้ตรวจสอบ ดังนั้นยังไม่มีวันออกแพตช์ที่ยืนยันได้สำหรับผลิตภัณฑ์นี้ ผู้ดูแลควรติดต่อ VertiGIS เพื่อขอคำตอบที่ตรงกับสายผลิตภัณฑ์และรุ่นที่ติดตั้ง ไม่ควรอ้างอิงเลขเวอร์ชันที่คาดเดาเอง

สามช่องทางเข้าสู่หน้าผู้ดูแล

CVE-2026-4950 เป็น stored XSS ใน CustomerAdministration หรือ KundenManager ผู้โจมตีที่มีบัญชีซึ่งเข้าถึงหน้าจัดการนี้ได้ สามารถใส่ JavaScript ลงในคุณสมบัติของผู้ใช้ขณะแก้ไขข้อมูล เมื่อผู้มีสิทธิ์คนอื่นเปิดข้อมูลผู้ใช้หรือรายชื่อในกลุ่มเดียวกัน โค้ดนั้นจะทำงานในเบราว์เซอร์ของผู้เปิดหน้า ประเด็นนี้ต้องมีสิทธิ์เข้าถึงพอร์ทัลก่อน ไม่ใช่ช่องทางที่บุคคลภายนอกส่งคำขอโดยไร้บัญชีแล้วทำงานทันที

CVE-2026-4951 เป็น reflected XSS ในหน้าค้นหาของ KundenManager ค่าค้นหา searchValue อยู่ใน URL ผู้โจมตีที่รู้รูปแบบ URL สามารถสร้างลิงก์ที่มีข้อมูลอันตรายแล้วชักชวนให้ผู้มีสิทธิ์สูงซึ่งกำลังล็อกอินเปิดลิงก์นั้น โค้ดจะทำงานในบริบทเบราว์เซอร์ของเหยื่อเมื่อเปิด URL จึงต่างจากรายการแรกตรงที่ผู้สร้างลิงก์ไม่จำเป็นต้องมีบัญชี แต่ต้องอาศัยการเปิดลิงก์ของผู้ใช้ที่ล็อกอินอยู่ ผู้วิจัยชี้ว่าผู้ดูแลในพอร์ทัลเปลี่ยนรหัสผ่านของบัญชีอื่นได้โดยไม่ต้องทราบรหัสผ่านเดิม ผลกระทบจาก XSS จึงอาจขยายไปถึงการยึดหรือปิดกั้นบัญชี ขึ้นกับสิทธิ์และการป้องกันอื่นของระบบ

CVE-2026-4952 เริ่มจากช่อง business reference ใน ASMobile ซึ่งเป็นส่วนหนึ่งของ GIS Portal ผู้ใช้ที่ล็อกอินใส่ข้อมูลลงช่องนี้ได้ หากมองเฉพาะหน้า ASMobile การแสดงผลเป็นลักษณะ self-XSS แต่เมื่อสร้างคำสั่งซื้อ ค่าเดียวกันถูกส่งต่อไปยัง OrderAdministration หรือ AuftragsManager และอาจถูกแสดงในรายละเอียดคำสั่งซื้อ เมื่อผู้มีสิทธิ์สูงเปิดรายการดังกล่าว โค้ดจะทำงานในเบราว์เซอร์ของผู้ดูแล จุดเสี่ยงจึงอยู่ที่การส่งข้อมูลข้ามขั้นตอนจากผู้ใช้ทั่วไปไปยังหน้าจัดการคำสั่งซื้อ

สิ่งที่ควรทำในระบบที่ใช้งานอยู่

เริ่มจากทำบัญชีว่ามี WebOrderSystem, KundenManager, AuftragsManager และ ASMobile รุ่นใดบ้าง รวมถึงกลุ่มผู้ใช้ที่เข้าถึงแต่ละหน้าจอได้ หากองค์กรไม่ได้ใช้พอร์ทัลบางส่วน ให้ตรวจว่าปิดการเข้าถึงจากเครือข่ายที่ไม่จำเป็นได้หรือไม่ จำกัดสิทธิ์การจัดการผู้ใช้และคำสั่งซื้อให้เฉพาะผู้ที่ต้องใช้งาน และทบทวนเส้นทางที่ผู้ดูแลเปิดลิงก์จากอีเมลหรือระบบภายนอก

สำหรับ CVE-2026-4952 ผู้วิจัยระบุว่าระบบมีตัวเลือกกำหนด regular expression สำหรับ business reference อยู่แล้ว การกำหนดรูปแบบที่ยอมรับเฉพาะอักขระซึ่งจำเป็นกับงานจริงอาจใช้เป็นมาตรการชั่วคราวได้ แต่ต้องทดสอบกับข้อมูลธุรกิจเดิมก่อนเปิดใช้ และไม่ควรถือว่าเป็นการแก้ XSS ที่ต้นเหตุ สำหรับ CVE-2026-4950 และ CVE-2026-4951 คำแนะนำต้นทางไม่ได้ระบุ workaround เฉพาะไว้ การจำกัดการเข้าถึงและลดสิทธิ์จึงเป็นการลดความเสี่ยงระหว่างรอคำตอบเรื่องแพตช์ ไม่ใช่หลักฐานว่าช่องโหว่ถูกปิดแล้ว

ให้ติดตามประกาศผลิตภัณฑ์และขอหมายเลข build ที่แก้ปัญหาจาก VertiGIS โดยตรง เมื่อได้รับเวอร์ชันที่ยืนยันแล้ว ควรทดสอบในสภาพแวดล้อมแยกก่อนอัปเดต production ตรวจว่าค่าที่ผู้ใช้กรอกในข้อมูลผู้ใช้ คำค้นหา และรายละเอียดคำสั่งซื้อถูกแสดงเป็นข้อความอย่างปลอดภัย และตรวจ access log สำหรับการใช้งานผิดปกติในหน้าจัดการที่เกี่ยวข้อง หากสงสัยว่ามีการใช้ประโยชน์ ให้ตรวจการเปลี่ยนรหัสผ่าน บัญชีผู้ดูแล และเซสชันที่ยังใช้งานตามกระบวนการตอบสนองเหตุการณ์ขององค์กร

ลำดับเวลาและแหล่งข้อมูล

SEC Consult ระบุว่าพบปัญหาเมื่อ 14 มกราคม 2025 และเผยแพร่คำแนะนำต่อสาธารณะวันที่ 22 ตุลาคม 2026 ระเบียน CVE ทั้งสามรายการเผยแพร่ครั้งแรกวันที่ 23 ตุลาคม 2026 ตามเวลาที่บันทึกใน CVE List ได้แก่ 07:31, 07:35 และ 07:45 UTC ตามลำดับ ภายในข้อมูลต้นทางที่ตรวจสอบ ณ เวลานี้ ยังไม่มีวันออกแพตช์ที่ยืนยันได้

อ่านรายละเอียดและคำแนะนำจาก SEC Consult และระเบียน CVE-2026-4950, CVE-2026-4951, CVE-2026-4952