CVE-2022-36180
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Fusiondirectory 1.3 zawiera podatność na atak XSS przez parametry w adresie URL. Atakujący może wstrzyknąć złośliwy skrypt przez parametry message i plug w kilku ścieżkach aplikacji.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce administratora, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować Fusiondirectory do najnowszej wersji, która zawiera poprawki zabezpieczające przed XSS. Dodatkowo wdrożyć filtrowanie wejścia i kodowanie wyjścia dla parametrów URL.
Oryginalny opis (angielski, źródło NVD)
Fusiondirectory 1.3 is vulnerable to Cross Site Scripting (XSS) via /fusiondirectory/index.php?message=[injection], /fusiondirectory/index.php?message=invalidparameter&plug={Injection], /fusiondirectory/index.php?signout=1&message=[injection]&plug=106.