CVE-2022-40841
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność na skryptowanie między witrynami (XSS) w NdkAdvancedCustomizationFields v3.5.0 umożliwia atakującym wykonanie dowolnych skryptów internetowych lub HTML poprzez wstrzyknięcie spreparowanych danych do parametru 'htmlNodes'.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowania do złośliwych stron lub kradzieży danych wrażliwych w kontekście aplikacji wykorzystującej tę bibliotekę.
Rekomendacja
Zaleca się natychmiastową aktualizację NdkAdvancedCustomizationFields do najnowszej wersji oraz zastosowanie walidacji i sanityzacji danych wejściowych dla parametru 'htmlNodes'.
Inne podatności w NdkAdvancedCustomizationFields
Zobacz wszystkie- CVE-2022-40842Krytyczne
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) poprzez plik rotateimg.php. Atakujący może wykorzystać tę podatność do wysyłania żądań z serwera do wewnętrznych zasobów sieciowych.
- CVE-2022-40840Średnie
Wtyczka NdkAdvancedCustomizationFields 3.5.0 dla ndk design zawiera podatność na ataki XSS w pliku createPdf.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
- CVE-2022-40839Wysokie
Podatność SQL Injection w parametrach height i width w NdkAdvancedCustomizationFields v3.5.0 umożliwia nieuwierzytelnionym atakującym wyodrębnienie danych z bazy danych.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in NdkAdvancedCustomizationFields v3.5.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payloads injected into the "htmlNodes" parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS