CVE-2023-31806
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Chamilo LMS w wersji 1.11.18 wykryto podatność na atak XSS (Cross-Site Scripting) w funkcji 'My Progress'. Lokalny atakujący może wykorzystać spreparowany ładunek do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przechwycenia danych lub wykonania nieautoryzowanych działań w kontekście ofiary. Atak wymaga jednak uprzedniego dostępu do systemu (atak lokalny).
Rekomendacja
Należy niezwłocznie zaktualizować Chamilo LMS do najnowszej dostępnej wersji, która zawiera poprawkę dla tej podatności. Dodatkowo warto wdrożyć filtrowanie wejścia i kodowanie wyjścia dla wszystkich danych użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability found in Chamilo Lms v.1.11.18 allows a local attacker to execute arbitrary code via a crafted payload to the My Progress function.