CVE-2023-33971
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Wtyczka Formcreator dla GLPI umożliwia tworzenie niestandardowych formularzy i zgłoszeń. Podatność na trwałe ataki XSS występuje w wersji 2.13.5 i wcześniejszych poprzez użycie znacznika `##FULLFORM##` do renderowania treści. Może to prowadzić do wykonania dowolnego kodu JavaScript w kontekście administratora lub technika.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się podczas przeglądania formularzy przez administratorów lub techników, co może skutkować kradzieżą sesji, modyfikacją danych lub eskalacją uprawnień.
Rekomendacja
Należy zastosować tymczasowe zabezpieczenie polegające na użyciu wyrażenia regularnego usuwającego znaki `< > "` we wszystkich polach formularza. Zaleca się monitorowanie dostępności łatki i jej niezwłoczne wdrożenie po publikacji.
Oryginalny opis (angielski, źródło NVD)
Formcreator is a GLPI plugin which allow creation of custom forms and the creation of one or more tickets when the form is filled. A probable stored cross-site scripting vulnerability is present in Formcreator 2.13.5 and prior via the use of the use of `##FULLFORM##` for rendering. This could result in arbitrary javascript code execution in an admin/tech context. A patch is unavailable as of time of publication. As a workaround, one may use a regular expression to remove `< > "` in all fields.