CVE-2020-20584
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W baigo CMS w wersji 4.0-beta-1 odkryto podatność na atak typu Cross-Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez parametr 'post' w formularzu wysyłanym do /public/console/profile/info-submit/.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub wycieku poufnych danych.
Rekomendacja
Należy natychmiast zaktualizować baigo CMS do najnowszej stabilnej wersji, która zawiera poprawki bezpieczeństwa. Jeśli aktualizacja nie jest możliwa, należy zastosować filtrowanie i walidację danych wejściowych dla parametru 'post'.
Oryginalny opis (angielski, źródło NVD)
A cross site scripting vulnerability in baigo CMS v4.0-beta-1 allows attackers to execute arbitrary web scripts or HTML via the form parameter post to /public/console/profile/info-submit/.