CVE-2023-23326
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W AvantFAX 3.3.7 wykryto podatność na trwałe XSS. Uwierzytelniony użytkownik o niskich uprawnieniach może wstrzyknąć dowolny kod JavaScript do swojego adresu e-mail, który zostanie wykonany, gdy administrator zaloguje się do AvantFAX i wyświetli panel administracyjny.
Ocena ryzyka
Atakujący może przejąć sesję administratora, kradnąc jego ciasteczko sesyjne, co prowadzi do nieautoryzowanego dostępu do wrażliwych danych i funkcji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację AvantFAX do najnowszej wersji oraz zastosowanie walidacji i kodowania danych wejściowych dla adresów e-mail.
Oryginalny opis (angielski, źródło NVD)
A Stored Cross-Site Scripting (XSS) vulnerability exists in AvantFAX 3.3.7. An authenticated low privilege user can inject arbitrary Javascript into their e-mail address which is executed when an administrator logs into AvantFAX to view the admin dashboard. This may result in stealing an administrator's session cookie and hijacking their session.