CVE-2021-27695
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 86 - wyżej niż 86% wszystkich znanych CVE
Streszczenie
W systemie openMAINT w wersjach 2.1-3.3-b wykryto wiele podatności na trwały cross-site scripting (XSS). Zdalny atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez sekcje "Dodaj", takie jak Dodaj kartę budynku i piętra, w parametrach Nazwa i Kod.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania w organizacji. Atakujący może wykorzystać te luki do ataków na personel administracyjny i innych użytkowników systemu.
Rekomendacja
Należy natychmiast zaktualizować openMAINT do najnowszej dostępnej wersji, która usuwa te podatności. Dodatkowo warto wdrożyć walidację wejścia i kodowanie wyjścia dla wszystkich pól formularzy.
Oryginalny opis (angielski, źródło NVD)
Multiple stored cross-site scripting (XSS) vulnerabilities in openMAINT 2.1-3.3-b allow remote attackers to inject arbitrary web script or HTML via any "Add" sections, such as Add Card Building & Floor, or others in the Name and Code Parameters.