CVE-2024-28710
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w LimeSurvey przed wersją 6.5.0+240319 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Problem wynika z braku walidacji wejścia i kodowania wyjścia w komponencie wiadomości widżetu Alert.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przejęcia konta administratora lub defacementu strony. Ryzyko jest szczególnie wysokie w środowiskach produkcyjnych z wieloma użytkownikami.
Rekomendacja
Niezwłocznie zaktualizuj LimeSurvey do wersji 6.5.0+240319 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz widżet Alert lub zastosuj reguły WAF blokujące podejrzane parametry.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in LimeSurvey before 6.5.0+240319 allows a remote attacker to execute arbitrary code via a lack of input validation and output encoding in the Alert Widget's message component.