CVE-2022-44944
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji dodawania ogłoszeń. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole tytułu, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia kont administratora lub rozprzestrzeniania złośliwego oprogramowania w organizacji poprzez wyświetlenie spreparowanego ogłoszenia.
Rekomendacja
Należy natychmiast zaktualizować Rukovoditel do najnowszej wersji oraz zastosować filtrowanie wejściowe i kodowanie wyjściowe dla pól tytułu ogłoszeń.
Inne podatności w Rukovoditel
Zobacz wszystkie- CVE-2022-44945Krytyczne
W Rukovoditel v3.2.1 odkryto podatność na wstrzykiwanie SQL przez parametr heading_field_id. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2022-44952Średnie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w module konfiguracji aplikacji. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola tekstowego Copyright Text, który zostanie wykonany po zapisaniu.
- CVE-2022-44951Średnie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji dodawania nowego formularza w zakładce /index.php?module=entities/forms&entities_id=24. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów po stronie ofiary.
- CVE-2022-44950Średnie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji dodawania nowego pola w /index.php?module=entities/fields&entities_id=24. Atakujący mogą wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
- CVE-2022-44949Średnie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji dodawania nowego pola. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Short Name, co prowadzi do wykonania skryptów w przeglądarkach innych użytkowników.
- CVE-2022-44948Średnie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji Entities Group. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptu w przeglądarkach innych użytkowników.
- CVE-2022-44947Średnie
W Rukovoditel v3.2.1 odkryto podatność na trwały skrypt krzyżowy (XSS) w funkcji Highlight Row. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Note, co prowadzi do wykonania skryptu w przeglądarce ofiary.
- CVE-2022-44946Średnie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji dodawania strony w /index.php?module=help_pages/pages&entities_id=24. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Tytuł, który zostanie wykonany w przeglądarkach innych użytkowników.
- CVE-2020-21732Średnie
Aplikacja Rukovoditel Project Management w wersji 2.6 jest podatna na atak typu Cross Site Scripting (XSS). Atakujący może dodać kod JavaScript do nazwy pliku.
Oryginalny opis (angielski, źródło NVD)
Rukovoditel v3.2.1 was discovered to contain a stored cross-site scripting (XSS) vulnerability in the Add Announcement function at /index.php?module=help_pages/pages&entities_id=24. This vulnerability allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Title field.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS