CVE-2021-25878
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
AVideo/YouPHPTube 10.0 i wcześniejsze wersje zawierają wiele refleksyjnych podatności na ataki typu Cross-Site Scripting (XSS) poprzez parametr videoName. Umożliwia to zdalnemu atakującemu kradzież ciasteczek sesji administratora lub wykonywanie działań jako administrator.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta administratora, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub nieautoryzowanych zmian w konfiguracji.
Rekomendacja
Należy natychmiast zaktualizować AVideo/YouPHPTube do najnowszej dostępnej wersji, która usuwa tę podatność. Dodatkowo, należy zastosować filtrowanie i walidację danych wejściowych dla parametru videoName.
Oryginalny opis (angielski, źródło NVD)
AVideo/YouPHPTube 10.0 and prior is affected by multiple reflected Cross Script Scripting vulnerabilities via the videoName parameter which allows a remote attacker to steal administrators' session cookies or perform actions as an administrator.