CVE-2020-29477
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
W Invision Community 4.5.4 występuje podatność na atak XSS w polu nazwy pola (Field Name). Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się przy każdym otwarciu tego pola przez użytkownika.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży ciasteczek sesyjnych użytkowników, co może prowadzić do przejęcia kont i nieautoryzowanego dostępu do systemu.
Rekomendacja
Należy natychmiast zaktualizować Invision Community do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
Invision Community 4.5.4 is affected by cross-site scripting (XSS) in the Field Name field. This vulnerability can allow an attacker to inject the XSS payload in Field Name and each time any user will open that, the XSS triggers and the attacker can able to steal the cookie according to the crafted payload.