CVE-2020-24085
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W MISP v2.4.128 występuje podatność na atak typu cross-site scripting (XSS) w funkcji SetHomePage() w pliku app/Controller/UserSettingsController.php. Brak walidacji kontrolera w parametrze 'path' pozwala atakującemu na wykonanie złośliwego kodu JavaScript.
Ocena ryzyka
Organizacja może być narażona na ataki, które mogą prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Wykorzystanie tej podatności może również wpłynąć na reputację organizacji.
Rekomendacja
Zaleca się wprowadzenie walidacji parametrów w kontrolerze, aby zapobiec wstrzykiwaniu złośliwego kodu. Należy również zaktualizować MISP do najnowszej wersji, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability exists in MISP v2.4.128 in app/Controller/UserSettingsController.php at SetHomePage() function. Due to a lack of controller validation in "path" parameter, an attacker can execute malicious JavaScript code.