CVE-2022-28598
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
Frappe ERPNext w wersji 12.29.0 zawiera podatność na ataki XSS. Oprogramowanie nie neutralizuje lub nieprawidłowo neutralizuje dane wejściowe kontrolowane przez użytkownika przed umieszczeniem ich w wynikach używanych jako strona internetowa serwowana innym użytkownikom.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innego użytkownika, co może prowadzić do kradzieży sesji, wycieku danych lub przejęcia konta.
Rekomendacja
Zaleca się natychmiastową aktualizację Frappe ERPNext do wersji nowszej niż 12.29.0, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Frappe ERPNext 12.29.0 is vulnerable to XSS where the software does not neutralize or incorrectly neutralize user-controllable input before it is placed in output that is used as a web page that is served to other users.