CVE-2022-44952
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W Rukovoditel v3.2.1 odkryto podatność na trwały cross-site scripting (XSS) w module konfiguracji aplikacji. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola tekstowego Copyright Text, który zostanie wykonany po zapisaniu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarkach administratorów, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania w organizacji.
Rekomendacja
Należy natychmiast zaktualizować Rukovoditel do najnowszej wersji oraz zastosować filtrowanie i kodowanie danych wejściowych w polu Copyright Text. Dodatkowo warto ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Rukovoditel v3.2.1 was discovered to contain a stored cross-site scripting (XSS) vulnerability in /index.php?module=configuration/application. This vulnerability allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Copyright Text field after clicking "Add".