CVE-2020-29230
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
W systemie EGavilanMedia User Registration and Login System With Admin Panel 1.0 występuje podatność na atak XSS w panelu administracyjnym w zakładce Zarządzanie użytkownikami. Atakujący może wstrzyknąć złośliwy kod JavaScript w polu Pełna nazwa podczas rejestracji użytkownika, który wykona się przy każdej wizycie administratora w tej zakładce.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży ciasteczek sesyjnych administratora przez atakującego, co może prowadzić do przejęcia konta administracyjnego i pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować filtrowanie i kodowanie danych wejściowych w polu Pełna nazwa, aby uniemożliwić wstrzykiwanie skryptów.
Oryginalny opis (angielski, źródło NVD)
EGavilanMedia User Registration and Login System With Admin Panel 1.0 is affected by cross-site scripting (XSS) in the Admin Panel - Manage User tab using the Full Name of the user. This vulnerability can result in the attacker injecting the XSS payload in the User Registration section and each time admin visits the manage user section from the admin panel, the XSS triggers and the attacker can steal the cookie according to the crafted payload.