CVE-2024-41597
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie ProcessWire w wersji 3.0.229 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia zdalnemu atakującemu dodanie komentarza. Producent kwestionuje to zgłoszenie, argumentując, że system celowo akceptuje anonimowe, nieuwierzytelnione komentarze, a domyślnie dodane komentarze są zatrzymywane do moderacji.
Ocena ryzyka
Ryzyko polega na możliwości dodania przez atakującego niechcianych komentarzy bez wiedzy administratora, co może prowadzić do zaśmiecania treścią lub potencjalnego wykorzystania do ataków socjotechnicznych, jednak ze względu na moderację ryzyko jest ograniczone.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ProcessWire oraz włączenie mechanizmów ochrony CSRF, jeśli są dostępne. Należy również regularnie monitorować i moderować dodawane komentarze.
Inne podatności w ProcessWire
Zobacz wszystkie- CVE-2026-40500Niskie ryzyko· EPSS 31%
Identyfikator CVE-2026-40500 został odrzucony przez organ nadający numery CVE. Zgłoszona podatność SSRF w funkcji 'Dodaj moduł z URL' nie stanowi realnego zagrożenia, ponieważ wymaga uprawnień superużytkownika (root-equivalent w ProcessWire), który już ma możliwość dowolnego wykonania kodu przez standardowe przesyłanie modułów. Funkcja jest domyślnie wyłączona i wymaga bezpośredniego dostępu do systemu plików, aby ją włączyć.
- CVE-2022-40488Średnie
W systemie ProcessWire w wersji 3.0.200 wykryto podatność na fałszerstwo żądań międzywitrynowych (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
- CVE-2022-40487Średnie
W ProcessWire v3.0.200 odkryto wiele podatności na ataki XSS w funkcjach wyszukiwania użytkowników i stron. Luki umożliwiają atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML.
Oryginalny opis (angielski, źródło NVD)
Cross Site Request Forgery vulnerability in ProcessWire v.3.0.229 allows a remote attacker to insert a comment. NOTE: this is disputed by the Supplier because the product intentionally accepts anonymous, unauthenticated comments and thus there are fewer situations in which CSRF would be a useful attack technique. Also, the submitted comments are, by default, held for moderator review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS