CVE-2020-26680
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W vFairs 3.3 każdy zalogowany użytkownik może modyfikować profil dowolnego innego użytkownika, wstrzykując złośliwy kod JavaScript (XSS). Baza danych przechowuje znaczniki HTML, które są renderowane na stronie, co umożliwia ataki XSS.
Ocena ryzyka
Atakujący może wykraść sesje, dane uwierzytelniające lub przekierować użytkowników na złośliwe strony, co zagraża poufności i integralności danych uczestników wydarzenia.
Rekomendacja
Należy natychmiast zaktualizować vFairs do najnowszej wersji oraz wdrożyć filtrowanie i kodowanie danych wejściowych, aby zapobiec wstrzykiwaniu HTML/JavaScript.
Oryginalny opis (angielski, źródło NVD)
In vFairs 3.3, any user logged in to a vFairs virtual conference or event can modify any other users profile information to include a cross-site scripting payload. The user data stored by the database includes HTML tags that are intentionally rendered out onto the page, and this can be abused to perform XSS attacks.