CVE-2024-44795
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność na atak typu Cross-Site Scripting (XSS) w komponencie /login/disabled.php aplikacji Gazelle (commit 63b3370) umożliwia atakującym wstrzyknięcie złośliwego skryptu lub kodu HTML poprzez parametr username.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne nieautoryzowane działania w kontekście przeglądarki ofiary.
Rekomendacja
Należy zaktualizować Gazelle do najnowszej wersji zawierającej poprawkę oraz zastosować walidację i kodowanie danych wejściowych dla parametru username.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the component /login/disabled.php of Gazelle commit 63b3370 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the username parameter.