CVE-2020-29230
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 występuje podatność na atak XSS w panelu administracyjnym w zakładce Zarządzanie użytkownikami. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu Pełna nazwa podczas rejestracji użytkownika, który wykona się przy każdej wizycie administratora w tej zakładce.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży ciasteczek sesyjnych administratora przez atakującego, co może prowadzić do przejęcia konta administracyjnego i pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować filtrowanie i kodowanie danych wejściowych w polu Pełna nazwa, aby uniemożliwić wstrzykiwanie skryptów.
Inne podatności w EGavilanMedia User Registration and Login System With Admin Panel
Zobacz wszystkie- CVE-2020-29231Średnie
W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 wykryto podatność na atak XSS w panelu administratora. Atakujący może wstrzyknąć złośliwy kod JavaScript w pole 'Pełna nazwa administratora', który uruchamia się przy każdej wizycie administratora na stronie profilu.
- CVE-2020-29228Wysokie
W systemie rejestracji i logowania użytkowników EGavilanMedia z panelem administracyjnym w wersji 1.0 występuje podatność na wstrzykiwanie SQL na stronie logowania użytkownika. Atakujący może manipulować danymi wejściowymi, aby wykonać nieautoryzowane zapytania do bazy danych.
Oryginalny opis (angielski, źródło NVD)
EGavilanMedia User Registration and Login System With Admin Panel 1.0 is affected by cross-site scripting (XSS) in the Admin Panel - Manage User tab using the Full Name of the user. This vulnerability can result in the attacker injecting the XSS payload in the User Registration section and each time admin visits the manage user section from the admin panel, the XSS triggers and the attacker can steal the cookie according to the crafted payload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS