CVE-2021-35377
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W VICIdial w wersjach 2.14-610c i 2.10-415c wykryto podatność na ataki typu Cross Site Scripting (XSS). Luka umożliwia atakującemu wykonanie dowolnego kodu poprzez parametry w plikach /agc/vicidial.php, agc/vicidial-greay.php oraz /vicidial/KHOMP_admin.php.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji użytkowników, przejęcia kont lub wycieku danych wrażliwych w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować VICIdial do najnowszej wersji, która usuwa tę podatność, oraz zastosować filtrowanie wejściowe i kodowanie wyjściowe dla wszystkich parametrów.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability found in VICIdial v2.14-610c and v.2.10-415c allows attackers execute arbitrary code via the /agc/vicidial.php, agc/vicidial-greay.php, and /vicidial/KHOMP_admin.php parameters.