CVE-2023-38305
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Webmin 2.021 odkryto problem związany z funkcjonalnością pobierania, który umożliwia atakującemu wykorzystanie podatności typu Cross-Site Scripting (XSS). Poprzez dostarczenie spreparowanej ścieżki pobierania z złośliwym ładunkiem, atakujący może wstrzyknąć dowolny kod, który zostanie wykonany w kontekście przeglądarki ofiary po uzyskaniu dostępu do linku pobierania.
Ocena ryzyka
Podatność ta stwarza ryzyko wykonania złośliwego kodu w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji. Organizacje powinny być świadome potencjalnych konsekwencji związanych z bezpieczeństwem ich użytkowników.
Rekomendacja
Zaleca się aktualizację Webmin do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić mechanizmy filtracji danych wejściowych, aby zminimalizować ryzyko ataków XSS.
Inne podatności w Webmin 2.021
Zobacz wszystkie- CVE-2017-15645Wysokie
W Webmin 1.850 występuje podatność CSRF, która umożliwia atakującemu wykonanie dowolnych poleceń poprzez wysłanie żądania GET do at/create_job.cgi z parametrami dir=/&cmd= w URI.
- CVE-2017-15644Wysokie
W Webmin 1.850 występuje podatność typu SSRF, która umożliwia atakującemu wykorzystanie parametru PATH_INFO do przeprowadzenia żądania GET do tunnel/link.cgi z zewnętrznym adresem IP.
- CVE-2019-15107KrytyczneAktywnie exploitowane
Podatność w Webmin w wersji 1.920 i wcześniejszych. Parametr 'old' w pliku password_change.cgi zawiera podatność na wstrzykiwanie poleceń.
- CVE-2026-42210Średnie
Webmin to internetowe narzędzie do administracji systemem dla serwerów Unix-like. Przed wersją 2.640, dla kont Webmin wymagających drugiego czynnika uwierzytelniania (zwykle TOTP), atakujący znający nazwę użytkownika i hasło może ominąć wymóg 2FA, używając uwierzytelniania Basic. Jako obejście, można ręcznie zastosować łatkę z commita da18a16c84ae5c0b78cad79609cb0efb174000ec.
- CVE-2026-56022Średnie
Webmin akceptuje podstawowe uwierzytelnianie bez ciasteczek sesji, gdy atakujący poda nagłówek 'User-Agent: webmin', co pozwala ominąć dodatkowe wymagania MFA. Podatność naprawiona w wersji 2.640.
- CVE-2026-56021Średnie
Webmin umożliwia nieautoryzowanym atakującym odczyt zawartości dowolnego pliku kończącego się na .conf w katalogach modułów, z powodu podatności w wyrażeniu regularnym.
- CVE-2026-56020Wysokie
Serwer HTTP Webmin (miniserv.pl) pozwala nieuwierzytelnionym atakującym na podszywanie się pod dowolnego użytkownika z skonfigurowanym certyfikatem klienta SSL, wysyłając sfałszowany nagłówek HTTP. Atakujący może sfałszować DN certyfikatu i uwierzytelnić się jako dowolny użytkownik. Poprawka w wersji 2.202.
- CVE-2026-22678Średnie
Webmin przed wersją 2.641 zawiera podatność na przechowywany XSS w polu opisu szablonu e-mail w module System and Server Status. Niskouprzywilejowani uwierzytelnieni atakujący mogą wykonać dowolny JavaScript w kontekście przeglądarki administratorów poprzez wstrzyknięcie nieoczyszczonych danych wejściowych przechowywanych w save_tmpl.cgi i renderowanych bez escapowania w list_tmpls.cgi.
- CVE-2023-40983Średnie
W Webmin w wersji 2.100 w funkcji menedżera plików występuje odbita podatność na skrypty między witrynami (XSS). Umożliwia ona atakującemu wykonanie złośliwego skryptu poprzez wstrzyknięcie spreparowanego ładunku do pliku 'Find in Results'.
- CVE-2023-40982Średnie
Webmin w wersji 2.100 zawiera podatność na trwałe skrypty między witrynami (XSS). Atakujący może wstrzyknąć złośliwy kod HTML lub JavaScript poprzez parametr nazwy sklonowanego modułu.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Webmin 2.021. The download functionality allows an attacker to exploit a Cross-Site Scripting (XSS) vulnerability. By providing a crafted download path containing a malicious payload, an attacker can inject arbitrary code, which is then executed within the context of the victim's browser when the download link is accessed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS