CVE-2021-35503
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W Afian FileRun 2021.03.26 odkryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez nagłówek HTTP X-Forwarded-For, który jest nieprawidłowo przetwarzany podczas renderowania dzienników aktywności.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarkach administratorów przeglądających dzienniki aktywności, co może prowadzić do kradzieży sesji, przejęcia konta lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować Afian FileRun do najnowszej wersji, która zawiera poprawkę usuwającą tę podatność. Do czasu aktualizacji należy ograniczyć dostęp do dzienników aktywności tylko do zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
Afian FileRun 2021.03.26 allows stored XSS via an HTTP X-Forwarded-For header that is mishandled when rendering Activity Logs.