CVE-2023-34103

WysokieCVSS 7.3

Opublikowano: 05/06/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.56%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

Avo to framework do tworzenia paneli administracyjnych w Ruby on Rails, który w dotkniętych wersjach jest podatny na ataki typu Cross Site Scripting (XSS) przy renderowaniu treści HTML. Atakujący muszą mieć uprawnienia do edycji formularzy, aby skutecznie wykorzystać tę podatność.

Ocena ryzyka

Podatność ta może prowadzić do przejęcia kontroli nad sesjami użytkowników lub kradzieży danych, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji i jej użytkowników.

Rekomendacja

Zaleca się skonfigurowanie nagłówków CSP dla aplikacji oraz ograniczenie dostępu dla nieufnych użytkowników jako środek zaradczy.

Inne podatności w Avo framework

CVE-2023-34102Wysokie
Avo to framework do tworzenia paneli administracyjnych w Ruby on Rails, który nie waliduje typów pól polimorficznych w backendzie. Może to prowadzić do nieoczekiwanego zachowania, zdalnego wykonania kodu lub awarii aplikacji przy przeglądaniu zmanipulowanego rekordu.

Oryginalny opis (angielski, źródło NVD)

Avo is an open source ruby on rails admin panel creation framework. In affected versions some avo fields are vulnerable to Cross Site Scripting (XSS) when rendering html based content. Attackers do need form edit privilege in order to successfully exploit this vulnerability, but the results are stored and no specific timing is required. This issue has been addressed in commit `7891c01e` which is expected to be included in the next release of avo. Users are advised to configure CSP headers for their application and to limit untrusted user access as a mitigation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS