CVE-2021-37504
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w parametrze fileNameStr biblioteki jQuery-Upload-File w wersji 4.0.11. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez spreparowaną nazwę pliku.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość wykonania dowolnego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki jQuery-Upload-File do najnowszej wersji oraz walidację i sanityzację nazw plików po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the fileNameStr parameter of jQuery-Upload-File v4.0.11 allows attackers to execute arbitrary web scripts or HTML via a crafted file with a Javascript payload in the file name.