CVE-2022-26644
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W systemie Online Banking System Protect v1.0 odkryto wiele podatności na ataki typu cross-site scripting (XSS). Podatności te występują w parametrach związanych z profilem użytkownika, informacjami systemowymi oraz zarządzaniem kontami.
Ocena ryzyka
Atakujący może wykorzystać te luki do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji użytkowników, przejęcia kont lub kradzieży poufnych danych finansowych.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować łatkę bezpieczeństwa. Dodatkowo, wdrożyć walidację i sanityzację danych wejściowych oraz użyć nagłówków Content Security Policy (CSP).
Inne podatności w Online Banking System Protect
Zobacz wszystkie- CVE-2022-26646Krytyczne
Online Banking System Protect v1.0 zawiera podatność na lokalne dołączanie plików (LFI) poprzez parametr pages. Umożliwia to atakującemu odczyt wrażliwych plików na serwerze.
- CVE-2022-26645Krytyczne
Podatność zdalnego wykonania kodu (RCE) w systemie Online Banking System Protect v1.0 umożliwia atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PHP za pomocą funkcji Upload Image.
Oryginalny opis (angielski, źródło NVD)
Online Banking System Protect v1.0 was discovered to contain multiple cross-site scripting (XSS) vulnerabilities via parameters on user profile, system_info and accounts management.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS