CVE-2024-27708
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie ramek iframe w airc.pt/solucoes-servicos.solucoes MyNET w wersji 26.06 i wcześniejszych pozwala zdalnemu atakującemu na wykonanie dowolnego kodu przez parametr src.
Ocena ryzyka
Ryzyko dla organizacji to możliwość wykonania złośliwego kodu w kontekście aplikacji, co może prowadzić do naruszenia bezpieczeństwa danych lub przejęcia kontroli nad sesją użytkownika.
Rekomendacja
Zaleca się zaktualizowanie MyNET do najnowszej wersji, która usuwa tę podatność, oraz walidację i sanityzację parametru src w celu zapobiegania wstrzykiwaniu iframe.
Inne podatności w MyNET
Zobacz wszystkie- CVE-2024-39037Średnie
MyNET do wersji v26.08.316 zawiera podatność na nieuwierzytelnione wstrzykiwanie SQL poprzez parametr intmenu. Atakujący może wykorzystać tę lukę bez konieczności logowania się do systemu.
- CVE-2024-35322Średnie
MyNET do wersji v26.08 zawiera podatność typu reflected cross-site scripting (XSS) poprzez parametr ficheiro. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie odzwierciedlony w odpowiedzi serwera i wykonany w przeglądarce ofiary.
- CVE-2024-35321Średnie
W MyNET do wersji v26.08 wykryto podatność odbitego cross-site scripting (XSS) poprzez parametr msgtipo.
- CVE-2024-25814Średnie
MyNET do wersji v26.05 zawiera podatność typu reflected cross-site scripting (XSS) poprzez parametr msg. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie odzwierciedlony w odpowiedzi serwera i wykonany w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Iframe injection vulnerability in airc.pt/solucoes-servicos.solucoes MyNET v.26.06 and before allows a remote attacker to execute arbitrary code via the src parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS