CVE-2021-25878
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
AVideo/YouPHPTube 10.0 i wcześniejsze wersje zawierają wiele refleksyjnych podatności na ataki typu Cross-Site Scripting (XSS) poprzez parametr videoName. Umożliwia to zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta administratora, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub nieautoryzowanych zmian w konfiguracji.
Rekomendacja
Należy natychmiast zaktualizować AVideo/YouPHPTube do najnowszej dostępnej wersji, która usuwa tę podatność. Dodatkowo, należy zastosować filtrowanie i walidację danych wejściowych dla parametru videoName.
Inne podatności w AVideo/YouPHPTube
Zobacz wszystkie- CVE-2021-25877Wysokie
Podatność w AVideo/YouPHPTube 10.0 i wcześniejszych wersjach umożliwia niezabezpieczony zapis plików. Administrator może zapisywać pliki w systemie plików za pomocą zmiennych flag i code w pliku save.php.
- CVE-2021-25876Średnie
AVideo/YouPHPTube 10.0 i wcześniejsze wersje zawierają wiele odbitych podatności typu Cross-Site Scripting (XSS) przez parametr 'u'. Zdalny atakujący może wykorzystać tę lukę do kradzieży ciasteczek sesji administratora lub wykonywania działań z jego uprawnieniami.
- CVE-2021-25875Średnie
W AVideo/YouPHPTube 10.0 i wcześniejszych wersjach występuje wiele odbitych podatności typu Cross-Site Scripting (XSS) poprzez parametr searchPhrase. Umożliwiają one zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
- CVE-2021-25874Wysokie
Podatność SQL Injection w AVideo/YouPHPTube 10.0 i wcześniejszych wersjach pozwala nieuwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie kodu SQL przez parametr catName. Umożliwia to odczytanie informacji z bazy danych, w tym skrótów haseł aplikacji.
Oryginalny opis (angielski, źródło NVD)
AVideo/YouPHPTube 10.0 and prior is affected by multiple reflected Cross Script Scripting vulnerabilities via the videoName parameter which allows a remote attacker to steal administrators' session cookies or perform actions as an administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS