CVE-2021-31674
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 89 - wyżej niż 89% wszystkich znanych CVE
Streszczenie
Cyclos 4 PRO w wersji 4.14.7 i wcześniejszych nie waliduje danych wejściowych użytkownika w komunikatach błędów, co umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie kodu JavaScript poprzez niezdefiniowaną stałą enum.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt JavaScript, co prowadzi do kradzieży sesji, przejęcia kont użytkowników lub kradzieży wrażliwych danych.
Rekomendacja
Należy niezwłocznie zaktualizować Cyclos 4 PRO do wersji nowszej niż 4.14.7 oraz wdrożyć walidację i kodowanie danych wejściowych w komunikatach błędów.
Oryginalny opis (angielski, źródło NVD)
Cyclos 4 PRO 4.14.7 and before does not validate user input at error inform, which allows remote unauthenticated attacker to execute javascript code via undefine enum constant.