CVE-2022-32074
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
W osTicket-plugins Storage-FS przed commit a7842d494889fd5533d13deb3c6a7789768795ae wykryto podatność na trwały atak XSS w komponencie audit/class.audit.php. Atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez spreparowany plik SVG.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarkach administratorów lub użytkowników, co może prowadzić do kradzieży sesji, defacementu lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Storage-FS do wersji zawierającej commit a7842d494889fd5533d13deb3c6a7789768795ae lub nowszej.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the component audit/class.audit.php of osTicket-plugins - Storage-FS before commit a7842d494889fd5533d13deb3c6a7789768795ae allows attackers to execute arbitrary web scripts or HTML via a crafted SVG file.