CVE-2020-18324
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
W CMS Subrion 4.2.1 w szablonie Kickstart parametr q jest podatny na atak XSS (Cross Site Scripting). Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przekierowania na złośliwe strony lub kradzieży danych wrażliwych. Atak może dotknąć zarówno administratorów, jak i zwykłych użytkowników systemu.
Rekomendacja
Należy zaktualizować Subrion CMS do najnowszej wersji, która zawiera poprawkę dla tej podatności. Jeśli aktualizacja nie jest możliwa, należy ręcznie oczyścić parametr q w szablonie Kickstart z niebezpiecznych znaków.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting (XSS) vulnerability exists in Subrion CMS 4.2.1 via the q parameter in the Kickstart template.