CVE-2022-25574
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Podatność na trwałe skrypty między witrynami (XSS) w funkcji przesyłania plików w /admin/show.php umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML za pomocą spreparowanego pliku obrazu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub kradzieży danych.
Rekomendacja
Należy zaktualizować oprogramowanie do najnowszej wersji, która usuwa tę podatność, oraz wdrożyć walidację i sanityzację przesyłanych plików, w tym sprawdzanie typu MIME i zawartości.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the upload function of /admin/show.php allows attackers to execute arbitrary web scripts or HTML via a crafted image file.