CVE-2018-25247
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Like dla MyBB w wersji 3.0.0 zawiera podatność na trwałe skrypty między witrynami (XSS). Uwierzytelnieni atakujący mogą wstrzykiwać złośliwe skrypty do tytułów postów lub wątków, które są wyświetlane bez oczyszczenia podczas przeglądania profilu użytkownika.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może wykonać dowolny skrypt w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub kradzieży danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Like do najnowszej wersji, która usuwa tę podatność, lub zastosować łatkę zabezpieczającą. Dodatkowo warto wdrożyć filtrowanie wejścia i kodowanie wyjścia dla wszystkich danych użytkownika.
Oryginalny opis (angielski, źródło NVD)
MyBB Like Plugin 3.0.0 contains a stored cross-site scripting vulnerability. Authenticated attackers can inject script payloads into post or thread subjects; when other users view a profile that displays the attacker's liked posts, the unsanitized subject is rendered, executing the script in the viewer's browser.