CVE-2024-28722
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w Innovaphone myPBX w wersjach v.14r1, v.13r3 i v.12r2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr query w żądaniu do endpointu /CMD0/xml_modes.xml.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przejęcia konta lub dalszej eskalacji ataku w sieci wewnętrznej organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować system Innovaphone myPBX do najnowszej dostępnej wersji oraz zastosować filtrowanie wejściowe dla parametru query.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in Innovaphone myPBX v.14r1, v.13r3, v.12r2 allows a remote attacker to execute arbitrary code via the query parameter to the /CMD0/xml_modes.xml endpoint