Katalog CVE
CVE-2018-7193
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzyko2.48%
Percentyl 83 - wyżej niż 83% wszystkich znanych CVE
Streszczenie
Podatność na skryptowanie między witrynami (XSS) w pliku /scp/directory.php w systemie osTicket przed wersją 1.10.2. Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr "order".
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne szkodliwe działania w kontekście przeglądarki ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację osTicket do wersji 1.10.2 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in /scp/directory.php in Enhancesoft osTicket before 1.10.2 allows remote attackers to inject arbitrary web script or HTML via the "order" parameter.