CVE-2023-36159
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w systemie Lost and Found Information System 1.0 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez pola First Name, Middle Name i Last Name na stronie Create User.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przekierowań lub defacementu strony, zagrażając poufności i integralności danych.
Rekomendacja
Należy zaktualizować system do najnowszej wersji oraz zastosować walidację i kodowanie danych wejściowych we wszystkich polach formularza.
Inne podatności w Lost and Found Information System
Zobacz wszystkie- CVE-2024-37858Krytyczne
Podatność SQL Injection w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr id w pliku manage_category.php.
- CVE-2024-37859Średnie
Podatność Cross Site Scripting (XSS) w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr 'page' w skrypcie php-lfis/admin/index.php.
- CVE-2024-37857Wysokie
Podatność SQL Injection w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr id w pliku view_category.php.
- CVE-2024-37856Średnie
Podatność Cross Site Scripting (XSS) w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez pola imienia, nazwiska i drugiego imienia na stronie profilu użytkownika.
- CVE-2023-33677Wysokie
W systemie Lost and Found Information System w wersji 1.0 odkryto podatność na nieuwierzytelnione wstrzyknięcie SQL. Atakujący może wykorzystać parametr "id" w żądaniu GET do strony "?page=items/view&id=*" bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting (XSS) vulnerability in sourcecodester Lost and Found Information System 1.0 allows remote attackers to run arbitrary code via the First Name, Middle Name and Last Name fields on the Create User page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS