CVE-2022-42992
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W aplikacji Train Scheduler App v1.0 wykryto wiele podatności na trwały cross-site scripting (XSS). Atakujący mogą wstrzyknąć złośliwy kod JavaScript lub HTML do pól tekstowych: Kod pociągu, Nazwa pociągu oraz Miejsce docelowe.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania w organizacji.
Rekomendacja
Należy natychmiast zaktualizować aplikację do najnowszej wersji lub zastosować łatkę usuwającą podatności XSS. Dodatkowo wdrożyć walidację i sanityzację danych wejściowych oraz kodowanie wyjścia HTML.
Oryginalny opis (angielski, źródło NVD)
Multiple stored cross-site scripting (XSS) vulnerabilities in Train Scheduler App v1.0 allow attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Train Code, Train Name, and Destination text fields.