CVE-2024-44797
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność na atak typu Cross-Site Scripting (XSS) w komponencie /managers/enable_requests.php aplikacji Gazelle (commit 63b3370) umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML poprzez parametr view. Atak może prowadzić do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście ofiary. Może to narazić organizację na utratę danych i naruszenie poufności.
Rekomendacja
Należy natychmiast zaktualizować Gazelle do wersji zawierającej poprawkę lub zastosować filtrowanie wejścia dla parametru view. Dodatkowo wdrożyć politykę Content Security Policy (CSP) w celu ograniczenia skutków XSS.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the component /managers/enable_requests.php of Gazelle commit 63b3370 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the view parameter.