CVE-2020-27388
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W panelu administracyjnym YOURLS w wersjach 1.5-1.7.10 występuje wiele podatności na trwały XSS. Uwierzytelniony użytkownik może wstrzyknąć złośliwy kod poprzez modyfikację wtyczki PHP i jej przesłanie.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarkach innych administratorów, co prowadzi do kradzieży sesji, modyfikacji ustawień lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować YOURLS do najnowszej wersji oraz ograniczyć uprawnienia do modyfikacji wtyczek tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Multiple Stored Cross Site Scripting (XSS) vulnerabilities exist in the YOURLS Admin Panel, Versions 1.5 - 1.7.10. An authenticated user must modify a PHP plugin with a malicious payload and upload it, resulting in multiple stored XSS issues.