CVE-2023-34244
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
GLPI to darmowe oprogramowanie do zarządzania aktywami i IT. W wersjach od 9.4.0 do przed 10.0.8, złośliwy link może być stworzony przez nieautoryzowanego użytkownika, co prowadzi do wykorzystania podatności XSS, jeśli jakikolwiek użytkownik zalogowany otworzy ten link.
Ocena ryzyka
Organizacja jest narażona na ataki XSS, które mogą prowadzić do kradzieży sesji użytkowników lub wprowadzenia złośliwego kodu. W efekcie, może to prowadzić do utraty danych lub naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do wersji 10.0.8, aby załatać tę podatność. Regularne aktualizacje oprogramowania są kluczowe dla zapewnienia bezpieczeństwa systemu.
Oryginalny opis (angielski, źródło NVD)
GLPI is a free asset and IT management software package. Starting in version 9.4.0 and prior to version 10.0.8, a malicious link can be crafted by an unauthenticated user that can exploit a reflected XSS in case any authenticated user opens the crafted link. Users should upgrade to version 10.0.8 to receive a patch.