CVE-2023-40281
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
EC-CUBE w wersjach od 2.11.0 do 2.17.2-p1 zawiera podatność typu cross-site scripting w sekcjach 'mail/template' oraz 'products/product' na stronie zarządzania. Wykorzystanie tej podatności może prowadzić do wykonania dowolnego skryptu w przeglądarce innego administratora lub użytkownika odwiedzającego stronę.
Ocena ryzyka
Organizacja może być narażona na ataki, które mogą prowadzić do kradzieży danych lub przejęcia sesji użytkowników. W szczególności, administratorzy mogą być celem ataków, co może wpłynąć na integralność systemu.
Rekomendacja
Zaleca się aktualizację EC-CUBE do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające przed atakami XSS.
Powiązane podatności
- CVE-2026-95606Krytyczne
Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.
- CVE-2026-95605Krytyczne
Podatność na wstrzyknięcie SQL w WP Data Access umożliwia niewidome wstrzyknięcie SQL. Dotyczy wersji do 5.5.82 włącznie.
- CVE-2026-76501Krytyczne
Podatność w funkcji SRv6 OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcje NGOAM i SRv6 są włączone.
- CVE-2026-76500Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą zasobów w całym ich cyklu życia (CWE-664). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76499Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą neutralizacją (CWE-707). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76498Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą dostępu (CWE-284). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76486Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
- CVE-2026-76485Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
- CVE-2026-76483Krytyczne
Przegląd bezpieczeństwa w Cisco License On-Prem (dawniej SSM On-Prem) ujawnił wiele podatności związanych z niedostatecznie chronionymi danymi uwierzytelniającymi (CWE-522). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76482Krytyczne
Przegląd bezpieczeństwa w Cisco License On-Prem (dawniej SSM On-Prem) ujawnił wiele podatności związanych z niewłaściwą weryfikacją danych wejściowych (CWE-347). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
EC-CUBE 2.11.0 to 2.17.2-p1 contain a cross-site scripting vulnerability in "mail/template" and "products/product" of Management page. If this vulnerability is exploited, an arbitrary script may be executed on the web browser of the other administrator or the user who accessed the website using the product.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS