CVE-2023-40281
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
EC-CUBE w wersjach od 2.11.0 do 2.17.2-p1 zawiera podatność typu cross-site scripting w sekcjach 'mail/template' oraz 'products/product' na stronie zarządzania. Wykorzystanie tej podatności może prowadzić do wykonania dowolnego skryptu w przeglądarce innego administratora lub użytkownika odwiedzającego stronę.
Ocena ryzyka
Organizacja może być narażona na ataki, które mogą prowadzić do kradzieży danych lub przejęcia sesji użytkowników. W szczególności, administratorzy mogą być celem ataków, co może wpłynąć na integralność systemu.
Rekomendacja
Zaleca się aktualizację EC-CUBE do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające przed atakami XSS.
Oryginalny opis (angielski, źródło NVD)
EC-CUBE 2.11.0 to 2.17.2-p1 contain a cross-site scripting vulnerability in "mail/template" and "products/product" of Management page. If this vulnerability is exploited, an arbitrary script may be executed on the web browser of the other administrator or the user who accessed the website using the product.