CVE-2022-44946
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji dodawania strony w /index.php?module=help_pages/pages&entities_id=24. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Tytuł, który zostanie wykonany w przeglądarkach innych użytkowników.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia konta administratora lub wyświetlenia fałszywych treści, co może prowadzić do naruszenia poufności i integralności danych w systemie Rukovoditel.
Rekomendacja
Należy niezwłocznie zaktualizować Rukovoditel do najnowszej wersji oraz zastosować filtrowanie i walidację danych wejściowych w polu Tytuł, aby zapobiec wstrzykiwaniu skryptów.
Oryginalny opis (angielski, źródło NVD)
Rukovoditel v3.2.1 was discovered to contain a stored cross-site scripting (XSS) vulnerability in the Add Page function at /index.php?module=help_pages/pages&entities_id=24. This vulnerability allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Title field.