CVE-2022-40840
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla ndk design zawiera podatność na ataki XSS w pliku createPdf.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowania na złośliwe strony lub wykonania innych działań w kontekście przeglądarki ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz zastosowanie filtrowania danych wejściowych w pliku createPdf.php.
Inne podatności w NdkAdvancedCustomizationFields
Zobacz wszystkie- CVE-2022-40842Krytyczne
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) poprzez plik rotateimg.php. Atakujący może wykorzystać tę podatność do wysyłania żądań z serwera do wewnętrznych zasobów sieciowych.
- CVE-2022-40841Średnie
Podatność na skryptowanie między witrynami (XSS) w NdkAdvancedCustomizationFields v3.5.0 umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanych danych do parametru 'htmlNodes'.
- CVE-2022-40839Wysokie
Podatność SQL Injection w parametrach height i width w NdkAdvancedCustomizationFields v3.5.0 umożliwia nieuwierzytelnionym atakującym wyodrębnienie danych z bazy danych.
Oryginalny opis (angielski, źródło NVD)
ndk design NdkAdvancedCustomizationFields 3.5.0 is vulnerable to Cross Site Scripting (XSS) via createPdf.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS