CVE-2023-43232
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowań do złośliwych stron lub kradzieży danych wrażliwych. Atak może dotknąć administratorów i redaktorów przeglądających zmodyfikowane treści.
Rekomendacja
Należy natychmiast zaktualizować DedeBIZ do najnowszej wersji oraz zastosować filtrowanie i kodowanie danych wejściowych w parametrze tytułu. Dodatkowo warto wdrożyć politykę Content Security Policy (CSP).
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the Website column management function of DedeBIZ v6.2.11 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the title parameter.