CVE-2021-47950
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Advanced Guestbook 2.4.4 zawiera trwałą podatność na cross-site scripting w interfejsie administracyjnym emotikonów. Uwierzytelnieni atakujący mogą wstrzykiwać złośliwe skrypty poprzez manipulację parametrem s_emotion. Skrypt wykonuje się, gdy administratorzy przeglądają zakładkę emotikonów.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście panelu administracyjnego. Atak wymaga uwierzytelnienia, ale może prowadzić do eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować Advanced Guestbook do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników i zweryfikować poprawność danych wejściowych w parametrze s_emotion.
Oryginalny opis (angielski, źródło NVD)
Advanced Guestbook 2.4.4 contains a persistent cross-site scripting vulnerability in the smilies administration interface that allows authenticated attackers to inject malicious scripts by manipulating the s_emotion parameter. Attackers can submit POST requests to admin.php with JavaScript code in the s_emotion field, which executes when administrators view the smilies tab.