CVE-2022-44947
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
W Rukovoditel v3.2.1 odkryto podatność na trwały skrypt krzyżowy (XSS) w funkcji Highlight Row. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Note, co prowadzi do wykonania skryptu w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowania na złośliwe strony lub kradzieży danych wrażliwych. Atak może dotknąć wszystkich użytkowników przeglądających zmodyfikowane rekordy.
Rekomendacja
Należy natychmiast zaktualizować Rukovoditel do najnowszej wersji oraz zastosować filtrowanie danych wejściowych w polu Note. Dodatkowo warto wdrożyć politykę Content Security Policy (CSP).
Oryginalny opis (angielski, źródło NVD)
Rukovoditel v3.2.1 was discovered to contain a stored cross-site scripting (XSS) vulnerability in the Highlight Row feature at /index.php?module=entities/listing_types&entities_id=24. This vulnerability allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Note field after clicking "Add".