CVE-2023-37728
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W IceWarp w wersji 10.2.1 odkryto podatność na ataki typu cross-site scripting (XSS) poprzez parametr color. Atakujący może wstrzyknąć złośliwy kod JavaScript do strony, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przechwycenia poufnych danych lub przeprowadzenia ataków phishingowych w kontekście aplikacji IceWarp.
Rekomendacja
Zaleca się natychmiastową aktualizację IceWarp do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również rozważyć walidację i sanityzację danych wejściowych dla parametru color.
Inne podatności w IceWarp
Zobacz wszystkie- CVE-2023-41013Średnie
Podatność Cross Site Scripting (XSS) w kalendarzu Webmail w IceWarp 10.3.1 umożliwia zdalnym atakującym wstrzyknięcie dowolnego skryptu lub kodu HTML przez pole "p4".
- CVE-2023-39600Średnie
W wersji 11.4.6.0 oprogramowania IceWarp zidentyfikowano podatność typu cross-site scripting (XSS) związaną z parametrem color.
Oryginalny opis (angielski, źródło NVD)
IceWarp v10.2.1 was discovered to contain cross-site scripting (XSS) vulnerability via the color parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS