CVE-2022-40047
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W Flatpress v1.2.1 odkryto podatność na odbity atak XSS przez parametr 'page' w skrypcie admin.php. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji administratora, przekierowania do złośliwych stron lub wykonania nieautoryzowanych działań w panelu administracyjnym.
Rekomendacja
Należy natychmiast zaktualizować Flatpress do najnowszej wersji oraz zastosować filtrowanie wejścia dla parametru 'page' w admin.php.
Inne podatności w Flatpress
Zobacz wszystkie- CVE-2026-56785Wysokie
FlatPress zawiera podatność na przechowywane ataki typu cross-site scripting w formularzach komentarzy i kontaktowych, gdzie pola imienia, URL i e-mail są renderowane bez odpowiedniego kodowania wyjściowego w szablonach Smarty. Atakujący mogą wstrzykiwać dowolny HTML i JavaScript przez te pola.
- CVE-2022-40048Wysokie
W Flatpress v1.2.1 odkryto podatność zdalnego wykonania kodu (RCE) w funkcji przesyłania plików. Atakujący może przesłać złośliwy plik, co prowadzi do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Flatpress v1.2.1 was discovered to contain a reflected cross-site scripting (XSS) vulnerability via the page parameter at /flatpress/admin.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS