CVE-2020-21731
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność XSS w Gazie 7.29 umożliwia atakującemu wstrzyknięcie kodu JavaScript poprzez parametr 'user_name' w skrypcie admin_utente.php. Wstrzyknięty kod jest trwale przechowywany przez aplikację.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne działania w ich kontekście, co zagraża poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować Gazie do najnowszej wersji oraz zastosować filtrowanie i kodowanie danych wejściowych, szczególnie w parametrze 'user_name'.
Oryginalny opis (angielski, źródło NVD)
Gazie 7.29 is affected by: Cross Site Scripting (XSS) via http://192.168.100.7/gazie/modules/config/admin_utente.php?user_name=amministratore&Update. An attacker can inject JavaScript code, and the webapplication stores the injected code.