CVE-2021-43712
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W systemie Employee Daily Task Management System 1.0 odkryto podatność na trwałe XSS w formularzu dodawania nowego pracownika. Atakujący może wstrzyknąć i przechować dowolny kod JavaScript w polu nazwy, który zostanie wykonany przy przeglądaniu danych.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przekierowania do złośliwych stron lub kradzieży danych uwierzytelniających administratora. Atak może prowadzić do przejęcia konta i eskalacji uprawnień w systemie.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować filtrowanie wejścia (walidacja i kodowanie HTML) dla pola nazwy. Dodatkowo wdrożyć Content Security Policy (CSP) w celu ograniczenia wykonania skryptów.
Oryginalny opis (angielski, źródło NVD)
Stored XSS in Add New Employee Form in Sourcecodester Employee Daily Task Management System 1.0 Allows Remote Attacker to Inject/Store Arbitrary Code via the Name Field.