CVE-2023-23326
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W AvantFAX 3.3.7 wykryto podatność na trwałe XSS. Uwierzytelniony użytkownik o niskich uprawnieniach może wstrzyknąć dowolny kod JavaScript do swojego adresu e-mail, który zostanie wykonany, gdy administrator zaloguje się do AvantFAX i wyświetli panel administracyjny.
Ocena ryzyka
Atakujący może przejąć sesję administratora, kradnąc jego ciasteczko sesyjne, co prowadzi do nieautoryzowanego dostępu do wrażliwych danych i funkcji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację AvantFAX do najnowszej wersji oraz zastosowanie walidacji i kodowania danych wejściowych dla adresów e-mail.
Inne podatności w AvantFAX
Zobacz wszystkie- CVE-2023-23328Wysokie
Podatność umożliwia uwierzytelnionemu użytkownikowi ominięcie walidacji typu pliku PHP w skrypcie FileUpload.php poprzez przesłanie specjalnie spreparowanego pliku PHP. Luka występuje w systemie AvantFAX w wersji 3.3.7.
- CVE-2023-23327Średnie
W AvantFAX 3.3.7 wykryto podatność na ujawnienie informacji. Kopie zapasowe wysłanych/odebranych faksów oraz bazy danych są przechowywane z bieżącą datą jako nazwą pliku i hostowane na serwerze WWW bez kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
A Stored Cross-Site Scripting (XSS) vulnerability exists in AvantFAX 3.3.7. An authenticated low privilege user can inject arbitrary Javascript into their e-mail address which is executed when an administrator logs into AvantFAX to view the admin dashboard. This may result in stealing an administrator's session cookie and hijacking their session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS