CVE-2023-4654
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1 występuje podatność związana z wrażliwym ciasteczkiem w sesji HTTPS, które nie ma atrybutu 'Secure'.
Ocena ryzyka
Brak atrybutu 'Secure' w ciasteczkach może prowadzić do ich przechwycenia przez atakujących, co zagraża poufności danych użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 2.16.1 lub nowszej oraz zapewnienie, że wszystkie wrażliwe ciasteczka mają ustawiony atrybut 'Secure'.
Inne podatności w instantsoft/icms2
Zobacz wszystkie- CVE-2023-4188Krytyczne
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje podatność na atak typu SQL Injection.
- CVE-2026-108568Średnie
W InstantSoft icms2 do wersji 2.18.2 wykryto lukę w funkcji validatePaypalOrder w pliku system/controllers/billing/actions/paypal.php komponentu Billing Module. Manipulacja argumentami bid/sig prowadzi do niewystarczającej weryfikacji autentyczności danych. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-108567Średnie
W InstantSoft icms2 do wersji 2.18.2 wykryto lukę w funkcji files_delete_file w pliku system/fields/image.php komponentu Image Handler. Manipulacja argumentem size prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Poprawka nosi nazwę 03d70937f1ff97031523222808726994b8b79379.
- CVE-2023-4704Średnie
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje zewnętrzna kontrola ustawień systemowych lub konfiguracyjnych.
- CVE-2023-4655Średnie
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1 występuje podatność typu Cross-site Scripting (XSS) odzwierciedlona.
- CVE-2023-4651Średnie
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1 występuje podatność typu Server-Side Request Forgery (SSRF). Może to prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych serwera.
- CVE-2023-4649Średnie
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1 występuje podatność na atak typu Session Fixation.
- CVE-2023-4189Średnie
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje podatność typu Cross-site Scripting (XSS) odzwierciedlona.
- CVE-2023-4187Średnie
W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje podatność typu Cross-site Scripting (XSS), która umożliwia atakującym wstrzykiwanie złośliwego kodu do aplikacji.
Oryginalny opis (angielski, źródło NVD)
Sensitive Cookie in HTTPS Session Without 'Secure' Attribute in GitHub repository instantsoft/icms2 prior to 2.16.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS