CVE-2024-40101
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W Microweber 2.0.15 i wcześniejszych wersjach wykryto podatność na odbity atak XSS w ścieżce '/search'. Niezautoryzowany atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr 'keywords'.
Ocena ryzyka
Atakujący może wykraść dane sesji użytkownika, przekierować go na złośliwą stronę lub wykonać inne szkodliwe działania w kontekście przeglądarki ofiary.
Rekomendacja
Należy niezwłocznie zaktualizować Microweber do wersji 2.0.16 lub nowszej oraz zastosować walidację i kodowanie danych wejściowych dla parametru 'keywords'.
Oryginalny opis (angielski, źródło NVD)
A Reflected Cross-site scripting (XSS) vulnerability exists in '/search' in microweber 2.0.15 and earlier allowing unauthenticated remote attackers to inject arbitrary web script or HTML via the 'keywords' parameter.