CVE-2022-42991
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W systemie Simple Online Public Access Catalog v1.0 wykryto podatność na trwałe skrypty między witrynami (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole "Pełna nazwa" podczas edycji konta.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych.
Rekomendacja
Należy zaktualizować system do najnowszej wersji lub zastosować odpowiednie filtrowanie i kodowanie danych wejściowych w polu "Pełna nazwa".
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in Simple Online Public Access Catalog v1.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Edit Account Full Name field.