CVE-2023-38888
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji oraz wykonanie dowolnego kodu poprzez moduł REST API. Problem dotyczy funkcji analyseVarsForSqlAndScriptsInjection i testSqlAndScriptInject.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykraść dane lub rozprzestrzenić złośliwy kod w organizacji, co prowadzi do naruszenia poufności i integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Dolibarr ERP CRM do wersji 17.0.2 lub nowszej oraz ograniczyć dostęp do modułu REST API tylko dla zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in Dolibarr ERP CRM v.17.0.1 and before allows a remote attacker to obtain sensitive information and execute arbitrary code via the REST API module, related to analyseVarsForSqlAndScriptsInjection and testSqlAndScriptInject.