CVE-2023-36137
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie PHPJabbers Class Scheduling 1.0 występuje podatność typu Cross Site Scripting (XSS) w parametrze 'theme' pliku preview.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się walidację i sanitizację danych wejściowych w parametrze 'theme' oraz aktualizację do najnowszej wersji oprogramowania.
Inne podatności w PHPJabbers Class Scheduling System 1.0
Zobacz wszystkie- CVE-2023-36136Średnie
System planowania zajęć PHPJabbers w wersji 1.0 nie stosuje szyfrowania haseł podczas edytowania konta użytkownika, co pozwala atakującemu na przechwycenie wszystkich nazw użytkowników i haseł w postaci niezaszyfrowanej.
- CVE-2023-36135Wysokie
W systemie PHPJabbers Class Scheduling System w wersji 1.0 występuje problem z enumeracją użytkowników. Podczas procesu odzyskiwania hasła różnice w komunikatach mogą umożliwić atakującemu ustalenie, czy dany użytkownik jest ważny, co otwiera drogę do ataku brute force na ważnych użytkowników.
Oryginalny opis (angielski, źródło NVD)
There is a Cross Site Scripting (XSS) vulnerability in the "theme" parameter of preview.php in PHPJabbers Class Scheduling System 1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS