CVE-2022-44303
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Resque Scheduler w wersji 1.27.4 jest podatny na atak typu Cross-site scripting (XSS). Zdalny atakujący może wstrzyknąć kod JavaScript do parametrów "schedule_job" lub "args" w endpointcie /resque/delayed/jobs/{schedule_job}?args={args_id}, co prowadzi do wykonania skryptu po stronie klienta.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego kodu JavaScript w przeglądarce administratora, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku wrażliwych danych.
Rekomendacja
Należy natychmiast zaktualizować Resque Scheduler do najnowszej wersji, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo zaleca się walidację i sanityzację wszystkich danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Resque Scheduler version 1.27.4 is vulnerable to Cross-site scripting (XSS). A remote attacker could inject javascript code to the "{schedule_job}" or "args" parameter in /resque/delayed/jobs/{schedule_job}?args={args_id} to execute javascript at client side.