CVE-2022-29005
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 78 - wyżej niż 78% wszystkich znanych CVE
Streszczenie
W systemie Online Birth Certificate System w wersji 1.2 wykryto wiele podatności na ataki typu cross-site scripting (XSS) w komponencie /obcs/user/profile.php. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML poprzez parametry fname lub lname, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście sesji ofiary. Może to prowadzić do wycieku danych osobowych i naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować łatkę zabezpieczającą. Dodatkowo, wdrożyć filtrowanie i walidację danych wejściowych (np. użycie funkcji htmlspecialchars) dla parametrów fname i lname.
Oryginalny opis (angielski, źródło NVD)
Multiple cross-site scripting (XSS) vulnerabilities in the component /obcs/user/profile.php of Online Birth Certificate System v1.2 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the fname or lname parameters.