CVE-2023-37658

ŚrednieCVSS 5.4

Opublikowano: 11/07/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 19/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Wersja 2.15.0 fast-poster jest podatna na atak Cross Site Scripting (XSS). Weryfikacja przesyłania plików sprawdza tylko binarne dane obrazu, ale nie dokonuje ścisłej weryfikacji sufiksu pliku, co prowadzi do przechowywanego XSS.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.

Rekomendacja

Zaleca się wprowadzenie dokładnej weryfikacji sufiksów plików podczas przesyłania oraz aktualizację do najnowszej wersji oprogramowania, aby zminimalizować ryzyko.

Oryginalny opis (angielski, źródło NVD)

fast-poster v2.15.0 is vulnerable to Cross Site Scripting (XSS). File upload check binary of img, but without strictly check file suffix at /server/fast.py -> ApiUploadHandler.post causes stored XSS