CVE-2023-39518
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Projekt social-media-skeleton, stworzony w PHP, MySQL, CSS, JavaScript i HTML, zawiera podatność na przechowywane ataki XSS w wersjach od 1.0.0 do 1.0.3. Problem został naprawiony w wersji 1.0.3.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do kradzieży danych użytkowników lub przejęcia kont. Organizacje powinny być świadome ryzyka związanego z nieaktualnymi wersjami oprogramowania.
Rekomendacja
Zaleca się aktualizację do wersji 1.0.3 lub nowszej, aby usunąć tę podatność. Regularne przeglądanie i aktualizowanie oprogramowania jest kluczowe dla bezpieczeństwa.
Inne podatności w social-media-skeleton
Zobacz wszystkie- CVE-2023-39344Krytyczne
W projekcie social-media-skeleton występuje podatność na wstrzykiwanie SQL, która umożliwia ataki oparte na UNION, co pośrednio prowadzi do zdalnego wykonania kodu. Została wprowadzona poprawka w commicie 3cabdd35c3d874608883c9eaf9bf69b2014d25c1.
- CVE-2023-40174Średnie
Podatność CVE-2023-40174 dotyczy projektu Social media skeleton, który nieprawidłowo zarządza cyklem życia sesji użytkownika. Wersje przed 1.0.5 nie ograniczały odpowiednio czasu trwania sesji, co stwarza ryzyko nieautoryzowanego dostępu.
- CVE-2023-40173Wysokie
Social Media Skeleton przed wersją 1.0.5 nie stosował odpowiedniego solenia haseł, co narażało je na łamanie w przypadku uzyskania dostępu do zhashowanych haseł przez atakującego.
- CVE-2023-40172Średnie
Podatność CVE-2023-40172 dotyczy projektu Social media skeleton, który przed wersją 1.0.5 nie ograniczał odpowiednio ataków typu Cross-site request forgery (CSRF). Atakujący mógł oszukać ofiarę, zmuszając ją do wykonania niezamierzonej akcji na stronie internetowej.
Oryginalny opis (angielski, źródło NVD)
social-media-skeleton is an uncompleted social media project implemented using PHP, MySQL, CSS, JavaScript, and HTML. Versions 1.0.0 until 1.0.3 have a stored cross-site scripting vulnerability. The problem is patched in v1.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS