CVE-2023-43232
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przekierowań do złośliwych stron lub kradzieży danych wrażliwych. Atak może dotknąć administratorów i redaktorów przeglądających zmodyfikowane treści.
Rekomendacja
Należy natychmiast zaktualizować DedeBIZ do najnowszej wersji oraz zastosować filtrowanie i kodowanie danych wejściowych w parametrze tytułu. Dodatkowo warto wdrożyć politykę Content Security Policy (CSP).
Inne podatności w DedeBIZ
Zobacz wszystkie- CVE-2023-43234Krytyczne
W DedeBIZ v6.2.11 odkryto wiele podatności zdalnego wykonania kodu (RCE) w pliku /admin/file_manage_control.php poprzez parametry $activepath i $filename.
- CVE-2023-3839Średnie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem sqlquery w pliku /admin/sys_sql_query.php. Atak może być przeprowadzony zdalnie, a jego złożoność jest stosunkowo wysoka.
- CVE-2023-3837Niskie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację w nieznanej funkcji pliku /admin/sys_sql_query.php. Atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the Website column management function of DedeBIZ v6.2.11 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the title parameter.