CVE-2017-20288
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
QCubed w wersjach od 2.2.0 do 3.1.1 zawiera podatność na odbity cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie skryptów poprzez parametr installation_path. Atakujący może spreparować żądania GET do /assets/php/_devtools/installer/step_2.php ze złośliwymi wartościami installation_path odbijanymi bez escapowania, wykonując JavaScript w przeglądarkach ofiar.
Ocena ryzyka
Może to prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika i potencjalnego przejęcia sesji.
Rekomendacja
Zaktualizuj QCubed do wersji nowszej niż 3.1.1 lub usuń dostęp do skryptów instalatora.
Inne podatności w QCubed
Zobacz wszystkie- CVE-2020-24914Krytyczne
Podatność w pliku profile.php biblioteki qcubed umożliwia wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych z parametru POST "strProfileData". Niezautoryzowany atakujący może wykorzystać ten błąd do zdalnego wykonania kodu na serwerze.
- CVE-2020-24913Krytyczne
Podatność SQL Injection w qcubed (wszystkie wersje do 3.1.1) w pliku profile.php przez parametr strQuery umożliwia nieuwierzytelnionemu atakującemu dostęp do bazy danych poprzez wstrzyknięcie kodu SQL za pomocą spreparowanego żądania POST.
- CVE-2020-24912Średnie
W qcubed (wszystkie wersje, w tym 3.1.1) w pliku profile.php występuje odbita podatność na skrypty między witrynami (XSS) przez parametr stQuery. Umożliwia ona nieuwierzytelnionemu atakującemu kradzież sesji uwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
QCubed 2.2.0 through 3.1.1 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts through the installation_path parameter. Attackers can craft GET requests to /assets/php/_devtools/installer/step_2.php with malicious installation_path values echoed unescaped, executing JavaScript in victims' browsers. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-20.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS