CVE-2023-6710

ŚrednieCVSS 5.4

Opublikowano: 12/12/2023(UTC)Zaktualizowano: 19/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

2.24%

Percentyl 82 - wyżej niż 82% wszystkich znanych CVE

Streszczenie

W mod_proxy_cluster w serwerze Apache wykryto lukę, która może pozwolić złośliwemu użytkownikowi na dodanie skryptu w parametrze 'alias' w adresie URL, wywołując podatność przechowywanego XSS. Poprzez dodanie skryptu w parametrze alias w URL atakujący dodaje nowy wirtualny host i umieszcza skrypt na stronie cluster-manager.

Ocena ryzyka

Przechowywany XSS może prowadzić do kradzieży sesji administratora, przejęcia konta lub wykonania działań w imieniu zalogowanego użytkownika na stronie cluster-manager.

Rekomendacja

Zaktualizuj mod_proxy_cluster do wersji zawierającej poprawkę oraz zweryfikuj i usuń nieautoryzowane wpisy wirtualnych hostów i skrypty na stronie cluster-manager.

Inne podatności w mod_proxy_cluster

CVE-2024-10306Średnie
W module mod_proxy_cluster wykryto podatność polegającą na nieprawidłowym użyciu dyrektywy <Directory> zamiast <Location>. Dyrektywa <Directory> nie ogranicza dostępu na podstawie adresu IP, co oznacza, że każdy użytkownik mający dostęp do hosta może wysyłać żądania MCMP, umożliwiające dodawanie, usuwanie lub aktualizację węzłów równoważenia obciążenia.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the mod_proxy_cluster in the Apache server. This issue may allow a malicious user to add a script in the 'alias' parameter in the URL to trigger the stored cross-site scripting (XSS) vulnerability. By adding a script on the alias parameter on the URL, it adds a new virtual host and adds the script to the cluster-manager page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS