CVE-2024-28709
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W LimeSurvey przed wersją 6.5.12+240611 wykryto podatność na atak XSS (Cross-Site Scripting). Zdalny atakujący może wykonać dowolny kod poprzez spreparowany skrypt w polach tytułu i komentarza.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkowników, przejęcia kont administratora lub wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować LimeSurvey do wersji 6.5.12+240611 lub nowszej. Dodatkowo warto wdrożyć filtrowanie wejściowe i kodowanie wyjściowe dla pól formularzy.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in LimeSurvey before 6.5.12+240611 allows a remote attacker to execute arbitrary code via a crafted script to the title and comment fields.