CVE-2023-40986
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Webmin w wersji 2.100 odkryto podatność na trwały atak XSS w funkcji konfiguracji Usermin. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Custom, co prowadzi do wykonania skryptów w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia konta użytkownika lub wykonania nieautoryzowanych działań w kontekście ofiary. Atak może być wykorzystany do rozprzestrzeniania złośliwego oprogramowania lub kradzieży danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować Webmin do najnowszej wersji, która usuwa tę podatność. Dodatkowo zaleca się ograniczenie dostępu do panelu administracyjnego oraz stosowanie filtrowania danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the Usermin Configuration function of Webmin v2.100 allows attackers to execute arbitrary web sripts or HTML via a crafted payload injected into the Custom field.