CVE-2017-8898
KrytyczneStreszczenie
W wersjach 4.1.19.2 i wcześniejszych pakietu Invision Power Services (IPS) Community Suite występuje podatność na przechowywane XSS w sekcji Ogłoszenia, co umożliwia eskalację uprawnień z moderatora do administratora. Atak wykorzystuje parametr announce_content w żądaniu index.php?/modcp/announcements/&action=create.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do konta administratora, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Invision Power Services, aby usunąć tę podatność oraz przeglądanie i monitorowanie ogłoszeń w celu wykrycia potencjalnych ataków.
Inne podatności w Invision Power Services (IPS) Community Suite
Zobacz wszystkie- CVE-2017-8899Wysokie
W wersjach 4.1.19.2 i wcześniejszych pakietu Invision Power Services (IPS) Community Suite występuje kombinacja podatności typu Stored XSS oraz ujawnienia informacji w funkcji załączników w panelu użytkownika. Można to wywołać przez dowolnego użytkownika Invision Power Board, co może prowadzić do uzyskania dostępu do kont moderatorów lub administratorów.
- CVE-2015-6812Wysokie
W wersjach przed 4.0.12.1 oprogramowania Invision Power Services IPS Community Suite, zdalni atakujący mogą spowodować odmowę usługi poprzez specjalnie przygotowany URL, co prowadzi do pętli i zużycia pamięci.
Oryginalny opis (angielski, źródło NVD)
Invision Power Services (IPS) Community Suite 4.1.19.2 and earlier has stored XSS in the Announcements, allowing privilege escalation from an Invision Power Board moderator to an admin. An attack uses the announce_content parameter in an index.php?/modcp/announcements/&action=create request. This is related to the "<> Source" option.