CVE-2022-40435
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W systemie Employee Performance Evaluation System v1.0 wykryto podatność na trwały atak XSS (cross-site scripting) w module Departments and Designations. Atakujący może wstrzyknąć złośliwy skrypt podczas dodawania nowych wpisów.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, modyfikacji danych lub dalszych ataków na organizację.
Rekomendacja
Należy zaktualizować system do najnowszej wersji lub zastosować filtrowanie i kodowanie danych wejściowych w module Departments and Designations. Zaleca się również wdrożenie polityki Content Security Policy (CSP).
Oryginalny opis (angielski, źródło NVD)
Employee Performance Evaluation System v1.0 was discovered to contain a persistent cross-site scripting (XSS) vulnerability via adding new entries under the Departments and Designations module.