CVE-2022-31358
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W Proxmox Virtual Environment przed wersją 7.2-3 wykryto odbitą podatność na skrypty między witrynami (XSS). Umożliwia ona zdalnemu atakującemu wykonanie dowolnych skryptów internetowych lub kodu HTML poprzez nieistniejące punkty końcowe w ścieżce /api2/html/.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do kradzieży sesji użytkownika, przekierowania do złośliwych stron lub wykonania innych działań w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować Proxmox Virtual Environment do wersji 7.2-3 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w Proxmox Virtual Environment
Zobacz wszystkie- CVE-2026-51083Średnie
Podatność w Proxmox Virtual Environment (PVE) 9.x qemu-server przed 9.1.8 i 8.x przed 8.4.8 umożliwia użytkownikom z ograniczonymi uprawnieniami uzyskanie zahaszowanych haseł poprzez API cloudinit/dump z powodu nieprawidłowej kontroli dostępu.
- CVE-2026-51082Wysokie
W Proxmox Virtual Environment (PVE) 9.x i 8.x wykryto warunek wyścigu między wywołaniami API vncproxy i vncwebsocket. Umożliwia on atakującemu z uprawnieniami do wywołania vncproxy przechwycenie sesji VNC ustanowionej równolegle przez innego użytkownika dla innej maszyny wirtualnej.
- CVE-2026-51081Średnie
Podatność na atak XSS w Proxmox Virtual Environment (PVE) 9.x 5.1.8 i 8.x 4.3.16 umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML. Luka występuje w mechanizmie przetwarzania danych wejściowych, co pozwala na wykonanie dowolnego kodu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability in Proxmox Virtual Environment prior to v7.2-3 allows remote attackers to execute arbitrary web scripts or HTML via non-existent endpoints under path /api2/html/.