CVE-2022-50968

Refleksyjne XSS w module backend/mailingLog/manage w uBidAuction 2.0.1 przez niesanitizowane parametry date_created, date_from, date_to i created_at, umożliwiające zdalnemu atakującemu wstrzyknięcie złośliwego skryptu przez spreparowane żądania GET.

W module zarządzania biletami (tickets/manage) w uBidAuction 2.0.1 występuje odbita podatność XSS. Parametry date_created, date_from, date_to i created_at w funkcji filtrowania nie są odpowiednio oczyszczane, co pozwala zdalnemu atakującemu wstrzyknąć złośliwy skrypt przez spreparowane żądanie GET, który wykona się w przeglądarce ofiary.

Wtyczka uBidAuction 2.0.1 zawiera odbitą podatność na skrypty między witrynami (XSS) w module news/manage. Parametry date_created, date_from, date_to i created_at w funkcji filtrowania nie są odpowiednio oczyszczane, co umożliwia zdalnym atakującym wstrzyknięcie złośliwych skryptów poprzez spreparowane żądania GET, które wykonują się w przeglądarkach ofiar.

W module zarządzania postami (posts/manage) w uBidAuction 2.0.1 występuje odbita podatność XSS. Parametry date_created, date_from, date_to i created_at w funkcji filtrowania nie są odpowiednio oczyszczane, co pozwala zdalnemu atakującemu wstrzyknąć złośliwy skrypt przez spreparowane żądanie GET, który wykona się w przeglądarce ofiary.

W module auctions/myAuctions/status/loose w uBidAuction 2.0.1 występuje odbita podatność XSS. Parametry date_created, date_from, date_to i created_at w funkcji filtrowania nie są odpowiednio oczyszczane, co pozwala zdalnemu atakującemu wstrzyknąć złośliwy skrypt przez spreparowane żądanie GET, który wykona się w przeglądarce ofiary.

W module auctions/myAuctions/status/active w uBidAuction 2.0.1 występuje odbita podatność XSS. Parametry date_created, date_from, date_to i created_at w funkcji filtrowania nie są odpowiednio oczyszczane, co pozwala zdalnemu atakującemu wstrzyknąć złośliwy skrypt przez spreparowane żądanie GET, który wykona się w przeglądarce ofiary.

W module orders/myOrders w uBidAuction 2.0.1 występuje odbita podatność XSS. Parametry date_created, date_from, date_to i created_at w funkcji filtrowania nie są odpowiednio oczyszczane, co pozwala zdalnemu atakującemu wstrzyknąć złośliwy skrypt przez spreparowane żądanie GET, który wykona się w przeglądarce ofiary.