CVE-2021-25876
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
AVideo/YouPHPTube 10.0 i wcześniejsze wersje zawierają wiele odbitych podatności typu Cross-Site Scripting (XSS) przez parametr 'u'. Zdalny atakujący może wykorzystać tę lukę do kradzieży ciasteczek sesji administratora lub wykonywania działań z jego uprawnieniami.
Ocena ryzyka
Ryzyko dla organizacji obejmuje przejęcie konta administratora, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub modyfikacji treści.
Rekomendacja
Zaleca się natychmiastową aktualizację AVideo/YouPHPTube do najnowszej wersji oraz zastosowanie filtrowania danych wejściowych dla parametru 'u' w celu zapobiegania atakom XSS.
Inne podatności w AVideo/YouPHPTube
Zobacz wszystkie- CVE-2021-25878Średnie
AVideo/YouPHPTube 10.0 i wcześniejsze wersje zawierają wiele refleksyjnych podatności na ataki typu Cross-Site Scripting (XSS) poprzez parametr videoName. Umożliwia to zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
- CVE-2021-25877Wysokie
Podatność w AVideo/YouPHPTube 10.0 i wcześniejszych wersjach umożliwia niezabezpieczony zapis plików. Administrator może zapisywać pliki w systemie plików za pomocą zmiennych flag i code w pliku save.php.
- CVE-2021-25875Średnie
W AVideo/YouPHPTube 10.0 i wcześniejszych wersjach występuje wiele odbitych podatności typu Cross-Site Scripting (XSS) poprzez parametr searchPhrase. Umożliwiają one zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
- CVE-2021-25874Wysokie
Podatność SQL Injection w AVideo/YouPHPTube 10.0 i wcześniejszych wersjach pozwala nieuwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie kodu SQL przez parametr catName. Umożliwia to odczytanie informacji z bazy danych, w tym skrótów haseł aplikacji.
Oryginalny opis (angielski, źródło NVD)
AVideo/YouPHPTube 10.0 and prior has multiple reflected Cross Script Scripting vulnerabilities via the u parameter which allows a remote attacker to steal administrators' session cookies or perform actions as an administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS