CVE-2017-8898
KrytyczneStreszczenie
W wersjach 4.1.19.2 i wcześniejszych pakietu Invision Power Services (IPS) Community Suite występuje podatność na przechowywane XSS w sekcji Ogłoszenia, co umożliwia eskalację uprawnień z moderatora do administratora. Atak wykorzystuje parametr announce_content w żądaniu index.php?/modcp/announcements/&action=create.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do konta administratora, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Invision Power Services, aby usunąć tę podatność oraz przeglądanie i monitorowanie ogłoszeń w celu wykrycia potencjalnych ataków.
Oryginalny opis (angielski, źródło NVD)
Invision Power Services (IPS) Community Suite 4.1.19.2 and earlier has stored XSS in the Announcements, allowing privilege escalation from an Invision Power Board moderator to an admin. An attack uses the announce_content parameter in an index.php?/modcp/announcements/&action=create request. This is related to the "<> Source" option.