CVE-2022-44951
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w funkcji dodawania nowego formularza w zakładce /index.php?module=entities/forms&entities_id=24. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów po stronie ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przejęcia kont administratora lub rozprzestrzeniania złośliwego oprogramowania w organizacji poprzez wykonanie dowolnych skryptów w przeglądarkach ofiar.
Rekomendacja
Należy natychmiast zaktualizować Rukovoditel do najnowszej wersji oraz zastosować filtrowanie i walidację danych wejściowych w polu Name, aby uniemożliwić wstrzykiwanie znaczników HTML i JavaScript.
Oryginalny opis (angielski, źródło NVD)
Rukovoditel v3.2.1 was discovered to contain a stored cross-site scripting (XSS) vulnerability in the Add New Form tab function at /index.php?module=entities/forms&entities_id=24. This vulnerability allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Name field.