CVE-2023-36222
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego skryptu, który może zostać wykonany w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji, przekierowań lub innych szkodliwych działań.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu bbs-go do wersji nowszej niż 3.5.5 oraz wdrożenie walidacji i sanityzacji danych wejściowych dla parametru komentarza.
Inne podatności w bbs-go
Zobacz wszystkie- CVE-2026-103396Średnie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.
- CVE-2023-36223Średnie
Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in mlogclub bbs-go v. 3.5.5. and before allows a remote attacker to execute arbitrary code via a crafted payload to the comment parameter in the article function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS