CVE-2023-34452
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Grav to system zarządzania treścią oparty na plikach. W wersjach 1.7.42 i wcześniejszych strona '/forgot_password' ma podatność na samorefleksyjne skrypty międzywitrynowe, która może być wykorzystana poprzez wstrzyknięcie skryptu do parametru 'email' w żądaniu.
Ocena ryzyka
Podatność ta może pozwolić atakującemu na wykonanie dowolnego kodu w przeglądarce użytkownika, jednak jej wpływ jest ograniczony, ponieważ wymaga interakcji użytkownika, aby ją uruchomić.
Rekomendacja
Zaleca się wdrożenie walidacji po stronie serwera, aby zapobiec tej podatności. Na chwilę obecną nie ma dostępnej poprawki.
Oryginalny opis (angielski, źródło NVD)
Grav is a flat-file content management system. In versions 1.7.42 and prior, the "/forgot_password" page has a self-reflected cross-site scripting vulnerability that can be exploited by injecting a script into the "email" parameter of the request. While this vulnerability can potentially allow an attacker to execute arbitrary code on the user's browser, the impact is limited as it requires user interaction to trigger the vulnerability. As of time of publication, a patch is not available. Server-side validation should be implemented to prevent this vulnerability.