CVE-2024-40101
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W Microweber 2.0.15 i wcześniejszych wersjach wykryto podatność na odbity atak XSS w ścieżce '/search'. Niezautoryzowany atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr 'keywords'.
Ocena ryzyka
Atakujący może wykraść dane sesji użytkownika, przekierować go na złośliwą stronę lub wykonać inne szkodliwe działania w kontekście przeglądarki ofiary.
Rekomendacja
Należy niezwłocznie zaktualizować Microweber do wersji 2.0.16 lub nowszej oraz zastosować walidację i kodowanie danych wejściowych dla parametru 'keywords'.
Inne podatności w Microweber
Zobacz wszystkie- CVE-2026-12198Wysokie
W Microweber do wersji 2.0.20 stwierdzono podatność path traversal w funkcji userfiles_path pliku /api_nosession/thumbnail_img komponentu API Endpoint poprzez manipulację argumentem cache_path_relative. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2020-23136Średnie
Podatność w Microweber v1.1.18 powoduje, że sesja użytkownika nie wygasa po wylogowaniu. Oznacza to, że atakujący może wykorzystać ważną sesję do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
A Reflected Cross-site scripting (XSS) vulnerability exists in '/search' in microweber 2.0.15 and earlier allowing unauthenticated remote attackers to inject arbitrary web script or HTML via the 'keywords' parameter.