CVE-2020-26680
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W vFairs 3.3 każdy zalogowany użytkownik może modyfikować profil dowolnego innego użytkownika, wstrzykując złośliwy kod JavaScript (XSS). Baza danych przechowuje znaczniki HTML, które są renderowane na stronie, co umożliwia ataki XSS.
Ocena ryzyka
Atakujący może wykraść sesje, dane uwierzytelniające lub przekierować użytkowników na złośliwe strony, co zagraża poufności i integralności danych uczestników wydarzenia.
Rekomendacja
Należy natychmiast zaktualizować vFairs do najnowszej wersji oraz wdrożyć filtrowanie i kodowanie danych wejściowych, aby zapobiec wstrzykiwaniu HTML/JavaScript.
Inne podatności w vFairs
Zobacz wszystkie- CVE-2020-26679Średnie
Podatność w vFairs 3.3 wynika z nieprawidłowych uprawnień, umożliwiając zalogowanemu użytkownikowi modyfikację profili innych uczestników. Atakujący może zmienić opis lub zdjęcie profilowe dowolnego użytkownika, znając jego unikalny identyfikator.
- CVE-2020-26678Wysokie
Podatność w vFairs 3.3 umożliwia zdalne wykonanie kodu. Każdy zalogowany użytkownik może wykorzystać funkcję przesyłania zdjęcia profilowego do umieszczenia złośliwego pliku PHP na serwerze i uzyskania wykonania kodu.
- CVE-2020-26677Wysokie
Podatność SQL Injection w vFairs 3.3 umożliwia każdemu zalogowanemu użytkownikowi wstrzyknięcie złośliwego zapytania SQL do API. Atakujący może manipulować bazą danych konferencji lub wydarzenia.
Oryginalny opis (angielski, źródło NVD)
In vFairs 3.3, any user logged in to a vFairs virtual conference or event can modify any other users profile information to include a cross-site scripting payload. The user data stored by the database includes HTML tags that are intentionally rendered out onto the page, and this can be abused to perform XSS attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS