CVE-2022-37721
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
PyroCMS 3.9 zawiera podatność na trwały atak XSS, umożliwiający użytkownikowi o niskich uprawnieniach (np. autorowi) wstrzyknięcie złośliwego kodu HTML i JavaScript w treści wpisu blogowego. Może to prowadzić do przejęcia konta administratora lub eskalacji uprawnień.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad kontem administratora, co skutkuje nieautoryzowanym dostępem do danych, modyfikacją treści lub całkowitym przejęciem systemu CMS.
Rekomendacja
Należy natychmiast zaktualizować PyroCMS do najnowszej wersji, która usuwa tę podatność. Dodatkowo wdrożyć filtrowanie wejściowe i kodowanie wyjściowe dla wszystkich pól treści.
Oryginalny opis (angielski, źródło NVD)
PyroCMS 3.9 is vulnerable to a stored Cross Site Scripting (XSS_ when a low privileged user such as an author, injects a crafted html and javascript payload in a blog post, leading to full admin account takeover or privilege escalation.