CVE-2018-7192
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 79 - wyżej niż 79% wszystkich znanych CVE
Streszczenie
Podatność na skryptowanie między witrynami (XSS) w pliku /ajax.php/form/help-topic w systemie osTicket przed wersją 1.10.2. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr "message".
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne szkodliwe działania w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować osTicket do wersji 1.10.2 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in /ajax.php/form/help-topic in Enhancesoft osTicket before 1.10.2 allows remote attackers to inject arbitrary web script or HTML via the "message" parameter.