CVE-2020-28727
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W SeedDMS 6.0.13 odkryto podatność na atak typu Cross-Site Scripting (XSS) poprzez parametr folderid w pliku views/bootstrap/class.DropFolderChooser.php. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przechwycenia danych lub przeprowadzenia ataków phishingowych w kontekście aplikacji SeedDMS. Może to prowadzić do naruszenia poufności i integralności danych przechowywanych w systemie.
Rekomendacja
Należy natychmiast zaktualizować SeedDMS do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność XSS. Jeśli aktualizacja nie jest możliwa, należy zastosować filtrowanie i walidację parametru folderid po stronie serwera.
Inne podatności w SeedDMS
Zobacz wszystkie- CVE-2021-26216Średnie
SeedDMS 5.1.x zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w pliku out.EditFolder.php. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
- CVE-2021-26215Średnie
SeedDMS 5.1.x zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF) w pliku out.EditDocument.php. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych operacji na koncie ofiary.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) exists in SeedDMS 6.0.13 via the folderid parameter to views/bootstrap/class.DropFolderChooser.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS