CVE-2022-24238
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W ACEweb Online Portal 3.5.065 odkryto podatność na atak XSS (Cross-Site Scripting) poprzez parametr txtNmName1 w skrypcie person.awp. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przechwycenia danych uwierzytelniających lub wykonania nieautoryzowanych działań w kontekście ofiary. Może to prowadzić do naruszenia poufności i integralności danych w systemie.
Rekomendacja
Należy natychmiast zaktualizować ACEweb Online Portal do najnowszej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy zastosować filtrowanie wejściowe i kodowanie wyjściowe dla parametru txtNmName1.
Oryginalny opis (angielski, źródło NVD)
ACEweb Online Portal 3.5.065 was discovered to contain a cross-site scripting (XSS) vulnerability via the txtNmName1 parameter in person.awp.