CVE-2024-37856
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w systemie Lost and Found Information System 1.0 umożliwia zdalnemu atakującemu eskalację uprawnień poprzez pola imienia, nazwiska i drugiego imienia na stronie profilu użytkownika.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce administratora, prowadząc do kradzieży sesji, modyfikacji danych lub przejęcia kontroli nad systemem.
Rekomendacja
Należy zaktualizować system do najnowszej wersji oraz zastosować walidację i kodowanie danych wejściowych (np. HTML encoding) dla wszystkich pól formularza profilu użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in Lost and Found Information System 1.0 allows a remote attacker to escalate privileges via the first, last, middle name fields in the User Profile page.