CVE-2023-3506
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 — wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Active It Zone Active eCommerce CMS w wersji 6.5.0 zidentyfikowano podatność, która umożliwia atak typu cross-site scripting (XSS) poprzez manipulację argumentem 'details' w pliku /ecommerce/support_ticket. Wprowadzenie skryptu <script>alert(1)</script> może prowadzić do wykonania nieautoryzowanego kodu.
Ocena ryzyka
Podatność ta stwarza ryzyko zdalnego wykonania kodu, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Organizacje korzystające z tej wersji CMS powinny podjąć natychmiastowe działania w celu zabezpieczenia swoich aplikacji.
Rekomendacja
Zaleca się aktualizację Active It Zone Active eCommerce CMS do najnowszej wersji, która eliminuje tę podatność. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające przed atakami XSS, takie jak walidacja i sanitizacja danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Active It Zone Active eCommerce CMS 6.5.0. It has been declared as problematic. This vulnerability affects unknown code of the file /ecommerce/support_ticket of the component Create Ticket Page. The manipulation of the argument details with the input <script>alert(1)</script> leads to cross site scripting. The attack can be initiated remotely. VDB-232954 is the identifier assigned to this vulnerability. NOTE: The vendor was contacted early about this disclosure but did not respond in any way.