CVE-2023-41452
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność CSRF w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze txt w komponencie index.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych działań w kontekście sesji administratora, co może prowadzić do przejęcia kontroli nad aplikacją i naruszenia integralności danych.
Rekomendacja
Należy natychmiast zaktualizować phpkobo AjaxNewTicker do najnowszej dostępnej wersji oraz wdrożyć mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF.
Inne podatności w phpkobo AjaxNewTicker
Zobacz wszystkie- CVE-2023-41447Średnie
Podatność Cross Site Scripting (XSS) w phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w parametrze subcmd w komponencie index.php.
- CVE-2023-41453Średnie
Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'cmd' w komponencie index.php.
- CVE-2023-41451Średnie
Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'txt' w komponencie index.php.
- CVE-2023-41448Średnie
Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany atak na parametr ID w komponencie index.php.
- CVE-2023-41445Średnie
Podatność Cross Site Scripting (XSS) w skrypcie phpkobo AjaxNewTicker w wersji 1.0.5 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany ładunek w komponencie index.php.
Oryginalny opis (angielski, źródło NVD)
Cross Site Request Forgery vulnerability in phpkobo AjaxNewTicker v.1.0.5 allows a remote attacker to execute arbitrary code via a crafted payload to the txt parameter in the index.php component.