CVE-2022-27244
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W MISP przed wersją 2.4.156 odkryto problem, który pozwala złośliwemu administratorowi na zapisanie ładunku XSS w niestandardowej nazwie autoryzacji. Ładunek ten będzie wykonywany za każdym razem, gdy administrator modyfikuje użytkownika.
Ocena ryzyka
Złośliwy administrator może wykorzystać tę podatność do wykonania skryptów w kontekście przeglądarki innych użytkowników, co może prowadzić do kradzieży danych lub przejęcia kont.
Rekomendacja
Zaleca się aktualizację MISP do wersji 2.4.156 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in MISP before 2.4.156. A malicious site administrator could store an XSS payload in the custom auth name. This would be executed each time the administrator modifies a user.