CVE-2023-33971
MediumCVSS 6.1Exploitation Probability (EPSS)
Low risk42th percentile - higher than 42% of all known CVEs
Summary
Wtyczka Formcreator dla GLPI umożliwia tworzenie niestandardowych formularzy i zgłoszeń. Podatność na trwałe ataki XSS występuje w wersji 2.13.5 i wcześniejszych poprzez użycie znacznika `##FULLFORM##` do renderowania treści. Może to prowadzić do wykonania dowolnego kodu JavaScript w kontekście administratora lub technika.
Risk Assessment
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się podczas przeglądania formularzy przez administratorów lub techników, co może skutkować kradzieżą sesji, modyfikacją danych lub eskalacją uprawnień.
Recommendation
Należy zastosować tymczasowe zabezpieczenie polegające na użyciu wyrażenia regularnego usuwającego znaki `< > "` we wszystkich polach formularza. Zaleca się monitorowanie dostępności łatki i jej niezwłoczne wdrożenie po publikacji.
Original NVD description (English source)
Formcreator is a GLPI plugin which allow creation of custom forms and the creation of one or more tickets when the form is filled. A probable stored cross-site scripting vulnerability is present in Formcreator 2.13.5 and prior via the use of the use of `##FULLFORM##` for rendering. This could result in arbitrary javascript code execution in an admin/tech context. A patch is unavailable as of time of publication. As a workaround, one may use a regular expression to remove `< > "` in all fields.