Уязвимость в WEBCON BPS позволяет выполнять произвольный JavaScript через фишинговую ссылку

Организации, использующие платформу управления бизнес-процессами WEBCON BPS, столкнулись с новой угрозой. В системе обнаружена уязвимость, получившая идентификатор CVE-2026-1630. Она позволяет злоумышленнику атаковать аутентифицированных пользователей через специально созданную ссылку. Проблема классифицируется как отражённая XSS-уязвимость (Reflected Cross-Site Scripting - тип межсайтового скриптинга, при котором вредоносный код внедряется в страницу через параметры запроса и срабатывает только при переходе по ссылке). Специалистам по информационной безопасности важно понять, как работает данная угроза и какие последствия она несёт.

Уязвимость CVE-2026-1630

По данным опубликованного бюллетеня, уязвимость затрагивает компонент "/openinmobileapp" одной из версий WEBCON BPS. При обработке определённого параметра в этом эндпоинте система не фильтрует входные данные должным образом. Атакующий может сформировать URL-адрес, содержащий вредоносный JavaScript-код. Если жертва - пользователь, уже прошедший аутентификацию в системе, открывает такую ссылку, код выполняется в её браузере. При этом атакующему не требуется знать учётные данные или иметь доступ к корпоративной сети - достаточно заставить пользователя кликнуть по ссылке (например, через фишинговое письмо или сообщение в мессенджере).

Проблеме присвоен средний уровень опасности. Согласно шкале CVSS 4.0, её показатель составляет 5,1 балла из десяти. Вектор атаки сетевой, сложность низкая, привилегии не требуются. Единственное условие - взаимодействие с пользователем (UI). Это означает, что атака не сработает без клика, но сам клик не требует от жертвы каких-либо дополнительных действий, кроме обычного перехода по ссылке.

Выполнение произвольного JavaScript в сессии аутентифицированного пользователя открывает широкий спектр возможностей. В первую очередь это кража сессионных cookie-файлов или токенов доступа. Получив их, злоумышленник может перехватить учётную запись и действовать от имени жертвы в системе WEBCON BPS. Кроме того, возможна подмена содержимого страниц, которые видит пользователь, или перенаправление на фишинговые ресурсы, имитирующие интерфейс платформы. Также вредоносный код может незаметно инициировать действия внутри бизнес-процессов, например изменить маршрут согласования документа или отправить данные на внешний сервер.

WEBCON BPS - это среда автоматизации процессов, которая часто используется в государственных учреждениях и крупных компаниях. Через неё проходят согласования заявок, обработка финансовых документов, управление проектами. Компрометация учётной записи в такой системе грозит не только утечкой конфиденциальных данных, но и нарушением цепочек принятия решений. Злоумышленник может под видом руководителя утвердить фальшивый счёт на оплату или изменить параметры важного процесса. Поэтому даже средняя по шкале опасности уязвимость заслуживает пристального внимания.

Разработчики WEBCON уже выпустили исправления. Решение доступно в версиях 2026.1.3.109 и 2025.2.1.293. Администраторам систем следует как можно скорее обновить платформу до указанных сборок. Если по каким-то причинам это невозможно, стоит временно ограничить доступ к эндпоинту "/openinmobileapp" на уровне межсетевого экрана или веб-сервера - например, отключить его для внешних запросов. Однако такой метод не является полноценной защитой, так как атака может исходить из внутренней сети.

Отдельно стоит отметить, что CWE присвоила данной проблеме код CWE-79, который описывает недостаточную нейтрализацию входных данных при генерации веб-страниц. Это классическая ошибка разработчиков, связанная с отсутствием фильтрации и экранирования специальных символов в параметрах URL. Подобные уязвимости хорошо известны, но продолжают появляться в современных приложениях. Для предотвращения таких инцидентов эксперты рекомендуют внедрять автоматизированные средства проверки кода на этапе разработки, а также регулярно проводить тестирование на проникновение.

В контексте данной новости важно подчеркнуть, что атака не требует высокой квалификации злоумышленника. Готовые эксплойты для XSS-уязвимостей могут быть созданы относительно быстро и доступны в закрытых сообществах. Поэтому организациям не стоит откладывать обновление. Каждый день задержки увеличивает риск того, что кто-то из сотрудников перейдёт по вредоносной ссылке, и система будет скомпрометирована.

Подводя итог, можно сказать, что CVE-2026-1630 - это ещё один пример того, как одна недосмотренная строчка кода ставит под удар всю корпоративную безопасность. WEBCON BPS известен своей надёжностью, но даже такие платформы не застрахованы от ошибок. Специалистам по информационной безопасности стоит немедленно проверить версии установленного ПО и развернуть патчи. Также полезно повторно объяснить сотрудникам правила цифровой гигиены: не переходить по подозрительным ссылкам, особенно если они пришли от неизвестных отправителей. Комбинация технических обновлений и человеческой бдительности остаётся лучшей защитой от подобных угроз.

Уязвимость CVE-2026-1630

Ссылки