CVE-2023-36289
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika. Dzięki temu atakujący może podszyć się pod tego użytkownika za pomocą parametrów POST email_create oraz back.
Ocena ryzyka
Podatność ta stwarza ryzyko przejęcia sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do ich kont i danych. Organizacje powinny być świadome potencjalnych konsekwencji związanych z bezpieczeństwem danych.
Rekomendacja
Zaleca się aktualizację Webkul QloApps do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy ochrony przed XSS oraz monitorować logi w celu wykrywania podejrzanych działań.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated Cross-Site Scripting (XSS) vulnerability found in Webkul QloApps 1.6.0 allows an attacker to obtain a user's session cookie and then impersonate that user via POST email_create and back parameter.