CVE-2023-37251
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W rozszerzeniu GoogleAnalyticsMetrics dla MediaWiki do wersji 1.39.3 odkryto problem, w którym funkcja parsera googleanalyticstrackurl nieprawidłowo ucieka JavaScript w obsłudze onclick oraz nie zapobiega używaniu adresów URL javascript:.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do ataków typu XSS, co stwarza ryzyko przejęcia sesji użytkowników oraz kradzieży danych.
Rekomendacja
Zaleca się aktualizację rozszerzenia GoogleAnalyticsMetrics do najnowszej wersji, aby usunąć tę podatność oraz zapewnić odpowiednie zabezpieczenia.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in the GoogleAnalyticsMetrics extension for MediaWiki through 1.39.3. The googleanalyticstrackurl parser function does not properly escape JavaScript in the onclick handler and does not prevent use of javascript: URLs.