CVE-2020-24912
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W qcubed (wszystkie wersje, w tym 3.1.1) w pliku profile.php występuje odbita podatność na skrypty między witrynami (XSS) przez parametr stQuery. Umożliwia ona nieuwierzytelnionemu atakującemu kradzież sesji uwierzytelnionych użytkowników.
Ocena ryzyka
Atakujący może przejąć sesję administratora lub innego zalogowanego użytkownika, uzyskując pełny dostęp do systemu i danych.
Rekomendacja
Należy natychmiast zaktualizować qcubed do wersji łatanej lub zastosować obejście polegające na walidacji i sanityzacji parametru stQuery w pliku profile.php.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability in qcubed (all versions including 3.1.1) in profile.php via the stQuery-parameter allows unauthenticated attackers to steal sessions of authenticated users.