CVE-2026-7308

Nexus Repository 3 - Stored Cross-Site Scripting (XSS) via HTML Browse Page

CVSS 5.1 MEDIUMEPSS 0.3%CWE-79

Vexday Risk Score

13Baixo

Decisão SSVC (CISA)

Track

Sem sinal de exploração → monitorar

CVSS 5.1EPSS 0.3%KEV nãoPoC —Nuclei —Metasploit —Patch referenciado

Ciclo de vida

11 mai 2026Publicada no NVD

Recomendação: Monitorar — sem sinal de exploração no momento.

An authenticated user with upload permission to a hosted repository can store content that causes arbitrary JavaScript to execute in the browser of any user who browses that repository directory via the HTML index page in Sonatype Nexus Repository versions 3.6.0 through versions before 3.92.0. This could allow the attacker to perform actions in the context of the victim's session.

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Produtos afetados

Sonatype · Nexus Repository

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://help.sonatype.com/en/sonatype-nexus-repository-3-92-0-release-notes.html https://support.sonatype.com/hc/en-us/articles/51592065985939