CVE-2024-41446
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W systemie Alkacon OpenCMS v17.0 wykryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru obrazu podczas tworzenia lub modyfikacji artykułu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarkach użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Należy zaktualizować OpenCMS do najnowszej wersji zawierającej poprawkę lub zastosować filtrowanie wejścia dla parametru obrazu w funkcji tworzenia/modyfikacji artykułu.
Inne podatności w Alkacon OpenCMS
Zobacz wszystkie- CVE-2023-42346Wysokie
Alkacon OpenCms w wersjach przed 16 umożliwia atak XXE, gdy <!DOCTYPE> odnosi się do zewnętrznego hosta.
- CVE-2023-42344Wysokie
Alkacon OpenCms w wersjach przed 10.5.1 umożliwia zdalnym, nieautoryzowanym atakującym uzyskanie wrażliwych informacji poprzez atak XXE na serwlet Chemistry.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in Alkacon OpenCMS v17.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the image parameter under the Create/Modify article function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS