CVE-2021-25875
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W AVideo/YouPHPTube 10.0 i wcześniejszych wersjach występuje wiele odbitych podatności typu Cross-Site Scripting (XSS) poprzez parametr searchPhrase. Umożliwiają one zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
Ocena ryzyka
Ryzyko dla organizacji obejmuje przejęcie konta administratora, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych, modyfikacji treści lub dalszych ataków na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować AVideo/YouPHPTube do najnowszej wersji, która usuwa tę podatność. Dodatkowo, wdrożyć filtrowanie wejścia i kodowanie wyjścia dla parametru searchPhrase.
Oryginalny opis (angielski, źródło NVD)
AVideo/YouPHPTube AVideo/YouPHPTube 10.0 and prior has multiple reflected Cross Script Scripting vulnerabilities via the searchPhrase parameter which allows a remote attacker to steal administrators' session cookies or perform actions as an administrator.