CVE-2023-37272
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
JS7 to otwartoźródłowy harmonogram zadań, który pozwala użytkownikom na przesyłanie plików z dokumentacją. Specjalnie skonstruowane nazwy plików mogą umożliwić atak XSS, który wstrzykuje kod wykonywany w przeglądarce.
Ocena ryzyka
Ryzyko tej podatności jest uznawane za wysokie dla wersji 1.13 JobScheduler (JS1). Wersja 2.x JobScheduler (JS7) po wydaniu 2.1.0 nie jest dotknięta tą podatnością.
Rekomendacja
Zaleca się aktualizację do wersji 1.13.19, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
JS7 is an Open Source Job Scheduler. Users specify file names when uploading files holding user-generated documentation for JOC Cockpit. Specifically crafted file names allow an XSS attack to inject code that is executed with the browser. Risk of the vulnerability is considered high for branch 1.13 of JobScheduler (JS1). The vulnerability does not affect branch 2.x of JobScheduler (JS7) for releases after 2.1.0. The vulnerability is resolved with release 1.13.19.