CVE-2024-44647
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
System PHPGurukul Small CRM 3.0 jest podatny na Cross Site Scripting (XSS) poprzez parametr aremark w pliku manage-tickets.php. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Podatność XSS może umożliwić kradzież ciasteczek sesyjnych, przejęcie konta użytkownika lub wykonanie nieautoryzowanych działań w imieniu ofiary, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji systemu lub wdrożenie mechanizmów walidacji i kodowania danych wejściowych dla parametru aremark.
Inne podatności w PHPGurukul Small CRM
Zobacz wszystkie- CVE-2026-90575Niskie
W PHPGurukul Small CRM 4.0 zidentyfikowano słabość w funkcji unserialize w pliku /crm/login.php komponentu Login Success Handler. Manipulacja argumentem geopluginURL powoduje deserializację, a atak można zainicjować zdalnie.
- CVE-2024-44648Średnie
PHPGurukul Small CRM 3.0 jest podatny na wstrzykiwanie SQL poprzez parametry id i adminremark w pliku quote-details.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami SQL.
- CVE-2025-50484Wysokie
W PHPGurukul Small CRM v3.0 w pliku /crm/change-password.php występuje nieprawidłowe unieważnianie sesji, co umożliwia atakującym przejęcie sesji użytkownika.
Oryginalny opis (angielski, źródło NVD)
PHPGurukul Small CRM 3.0 is vulnerable to Cross Site Scripting (XSS) via the aremark parameter in manage-tickets.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS