CVE-2024-44794
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność XSS w komponencie /master/auth/OnedriveRedirect.php aplikacji PicUploader (commit fcf82ea) umożliwia atakującym wstrzyknięcie złośliwych skryptów lub kodu HTML poprzez parametr error_description.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne działania w kontekście przeglądarki ofiary, co zagraża poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować PicUploader do najnowszej wersji oraz zastosować filtrowanie i kodowanie wyjścia dla parametru error_description.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the component /master/auth/OnedriveRedirect.php of PicUploader commit fcf82ea allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the error_description parameter.