CVE-2022-40487
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W ProcessWire v3.0.200 odkryto wiele podatności na ataki XSS w funkcjach wyszukiwania użytkowników i stron. Luki umożliwiają atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne nieautoryzowane działania w kontekście przeglądarki ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację ProcessWire do najnowszej wersji oraz zastosowanie filtrów wejściowych i kodowania wyjścia dla danych użytkownika.
Inne podatności w ProcessWire
Zobacz wszystkie- CVE-2026-40500Niskie ryzyko· EPSS 31%
Identyfikator CVE-2026-40500 został odrzucony przez organ nadający numery CVE. Zgłoszona podatność SSRF w funkcji 'Dodaj moduł z URL' nie stanowi realnego zagrożenia, ponieważ wymaga uprawnień superużytkownika (root-equivalent w ProcessWire), który już ma możliwość dowolnego wykonania kodu przez standardowe przesyłanie modułów. Funkcja jest domyślnie wyłączona i wymaga bezpośredniego dostępu do systemu plików, aby ją włączyć.
- CVE-2024-41597Średnie
W systemie ProcessWire w wersji 3.0.229 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia zdalnemu atakującemu dodanie komentarza. Producent kwestionuje to zgłoszenie, argumentując, że system celowo akceptuje anonimowe, nieuwierzytelnione komentarze, a domyślnie dodane komentarze są zatrzymywane do moderacji.
- CVE-2022-40488Średnie
W systemie ProcessWire w wersji 3.0.200 wykryto podatność na fałszerstwo żądań międzywitrynowych (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
Oryginalny opis (angielski, źródło NVD)
ProcessWire v3.0.200 was discovered to contain multiple cross-site scripting (XSS) vulnerabilities via the Search Users and Search Pages function. These vulnerabilities allow attackers to execute arbitrary web scripts or HTML via injection of a crafted payload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS