CVE-2021-43687
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 68 - wyżej niż 68% wszystkich znanych CVE
Streszczenie
W systemie Chamilo LMS w wersji 1.11.14 wykryto podatność na atak typu Cross Site Scripting (XSS) w pliku /plugin/jcapture/applet.php. Atakujący może wykorzystać tę lukę, przekazując w ciasteczku (cookie) zakodowany w hex ciąg znaków.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych wrażliwych.
Rekomendacja
Należy niezwłocznie zaktualizować Chamilo LMS do najnowszej dostępnej wersji, która zawiera poprawkę dla tej luki. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć lub zabezpieczyć dostęp do pliku /plugin/jcapture/applet.php.
Oryginalny opis (angielski, źródło NVD)
chamilo-lms v1.11.14 is affected by a Cross Site Scripting (XSS) vulnerability in /plugin/jcapture/applet.php if an attacker passes a message hex2bin in the cookie.