CVE-2023-34599
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
W wersji Gibbon v25.0.0 zidentyfikowano wiele podatności typu Cross-Site Scripting (XSS), które umożliwiają atakującym wykonanie dowolnego kodu Javascript.
Ocena ryzyka
Atakujący mogą wykorzystać te podatności do przejęcia kontroli nad sesjami użytkowników lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Gibbon, aby usunąć te podatności.
Inne podatności w Gibbon v25.0.0
Zobacz wszystkie- CVE-2023-34598Krytyczne
Gibbon w wersji 25.0.0 jest podatny na atak Local File Inclusion (LFI), co pozwala na dołączenie zawartości kilku plików znajdujących się w folderze instalacyjnym do odpowiedzi serwera.
- CVE-2026-8209Średnie
Gibbon przed wersją 30.0.01 zawiera podatność typu path traversal, która może prowadzić do ataku DoS poprzez próbę ekstrakcji plików PHP. Nieudana ekstrakcja .zip powoduje usunięcie pliku i stan DoS. Wymagane są uprawnienia nauczyciela lub wyższe.
- CVE-2026-8208Wysokie
Wersje Gibbon przed v30.0.01 są podatne na lokalne dołączanie plików prowadzące do zdalnego wykonania kodu (RCE) poprzez zmianę katalogu archiwum raportów i wymuszenie interpretacji dostarczonego przez użytkownika pliku .zip jako PHP. Do udanego wykorzystania wymagane są uprawnienia nauczyciela lub wyższe.
- CVE-2026-8207Wysokie
Gibbon przed wersją v30.0.01 zawiera podatność SQL Injection w funkcji Tracking/graphing. Uwierzytelniony użytkownik z uprawnieniami nauczyciela lub wyższymi może wstrzykiwać zapytania SQL, co prowadzi do nieautoryzowanego odczytu i zapisu w bazie danych.
- CVE-2022-27305Wysokie
Gibbon v23 nie generuje nowego identyfikatora sesji po zalogowaniu użytkownika, co umożliwia ataki fiksacji sesji. Atakujący może zmusić ofiarę do użycia znanego identyfikatora sesji, a następnie przejąć jej sesję po zalogowaniu.
Oryginalny opis (angielski, źródło NVD)
Multiple Cross-Site Scripting (XSS) vulnerabilities have been identified in Gibbon v25.0.0, which enable attackers to execute arbitrary Javascript code.