CVE-2022-40487
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W ProcessWire v3.0.200 odkryto wiele podatności na ataki XSS w funkcjach wyszukiwania użytkowników i stron. Luki umożliwiają atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne nieautoryzowane działania w kontekście przeglądarki ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację ProcessWire do najnowszej wersji oraz zastosowanie filtrów wejściowych i kodowania wyjścia dla danych użytkownika.
Oryginalny opis (angielski, źródło NVD)
ProcessWire v3.0.200 was discovered to contain multiple cross-site scripting (XSS) vulnerabilities via the Search Users and Search Pages function. These vulnerabilities allow attackers to execute arbitrary web scripts or HTML via injection of a crafted payload.