CVE-2023-37280
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Pimcore Admin Classic Bundle, oparty na frameworku ExtJS, ma podatność, która pozwala na wykonanie dowolnych skryptów/treści HTML przez administratora, który nie skonfigurował uwierzytelniania dwuetapowego. Atak nie wymaga żadnych uprawnień.
Ocena ryzyka
Brak uwierzytelniania dwuetapowego naraża aplikację na wykonanie złośliwego kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa danych.
Rekomendacja
Zaleca się skonfigurowanie uwierzytelniania dwuetapowego dla wszystkich administratorów oraz aktualizację do wersji 1.0.3, w której ta podatność została załatana.
Oryginalny opis (angielski, źródło NVD)
Pimcore Admin Classic Bundle provides a Backend UI for Pimcore based on the ExtJS framework. An admin who has not setup two factor authentication before is vulnerable for this attack, without need for any form of privilege, causing the application to execute arbitrary scripts/HTML content. This vulnerability has been patched in version 1.0.3.