CVE-2023-33255
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W aplikacji internetowej Papaya Viewer w wersji 1.0.1449 odkryto problem związany z brakiem sanitizacji danych wejściowych. Użytkownicy mogą załadować obrazy DICOM lub NIFTI, co umożliwia wstrzyknięcie dowolnego kodu JavaScript do metadanych obrazu, który jest wykonywany podczas wyświetlania tych metadanych.
Ocena ryzyka
Brak sanitizacji danych wejściowych stwarza ryzyko wykonania złośliwego kodu JavaScript, co może prowadzić do ataków XSS i kompromitacji bezpieczeństwa aplikacji oraz danych użytkowników.
Rekomendacja
Zaleca się wprowadzenie odpowiednich mechanizmów sanitizacji danych wejściowych w aplikacji Papaya Viewer, aby zapobiec wstrzykiwaniu złośliwego kodu.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Papaya Viewer 1.0.1449. User-supplied input in form of DICOM or NIFTI images can be loaded into the Papaya web application without any kind of sanitization. This allows injection of arbitrary JavaScript code into image metadata, which is executed when that metadata is displayed in the Papaya web application.