CVE-2023-27237
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W systemie LavaLite CMS w wersji 9.0.0 wykryto podatność na atak polegający na wstrzyknięciu nagłówka hosta. Atakujący może manipulować nagłówkiem Host w żądaniu HTTP, co może prowadzić do nieautoryzowanych działań.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków typu cache poisoning, przejęcia sesji lub przekierowania użytkowników na złośliwe strony, co może naruszyć integralność i poufność danych.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu LavaLite CMS do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również skonfigurować serwer WWW do walidacji nagłówka Host.
Inne podatności w LavaLite CMS
Zobacz wszystkie- CVE-2025-71177Średnie
LavaLite CMS w wersjach do 10.1.0 zawiera podatność na trwałe cross-site scripting (XSS) w funkcji tworzenia i wyszukiwania pakietów. Zautoryzowani użytkownicy mogą wstrzyknąć złośliwy kod HTML lub JavaScript w pola Nazwa lub Opis pakietu, który jest przechowywany i wyświetlany bez odpowiedniego kodowania w wynikach wyszukiwania. Gdy inni użytkownicy przeglądają wyniki zawierające złośliwy pakiet, skrypt wykonuje się w ich przeglądarkach.
- CVE-2024-31828Średnie
Podatność na Cross Site Scripting w Lavalite CMS v.10.1.0 umożliwia atakującym wykonanie dowolnego kodu i uzyskanie wrażliwych informacji poprzez spreparowany payload w URL.
Oryginalny opis (angielski, źródło NVD)
LavaLite CMS v 9.0.0 was discovered to be vulnerable to a host header injection attack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS