CVE-2024-44797
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność na atak typu Cross-Site Scripting (XSS) w komponencie /managers/enable_requests.php aplikacji Gazelle (commit 63b3370) umożliwia atakującemu wstrzyknięcie złośliwego skryptu lub kodu HTML poprzez parametr view. Atak może prowadzić do wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście ofiary. Może to narazić organizację na utratę danych i naruszenie poufności.
Rekomendacja
Należy natychmiast zaktualizować Gazelle do wersji zawierającej poprawkę lub zastosować filtrowanie wejścia dla parametru view. Dodatkowo wdrożyć politykę Content Security Policy (CSP) w celu ograniczenia skutków XSS.
Inne podatności w Gazelle
Zobacz wszystkie- CVE-2024-44795Średnie
Podatność na atak typu Cross-Site Scripting (XSS) w komponencie /login/disabled.php aplikacji Gazelle (commit 63b3370) umożliwia atakującym wstrzyknięcie złośliwego skryptu lub kodu HTML poprzez parametr username.
- CVE-2024-44793Średnie
Podatność XSS w komponencie /managers/multiple_freeleech.php aplikacji Gazelle (commit 63b3370) umożliwia atakującym wstrzyknięcie złośliwych skryptów lub kodu HTML poprzez parametr torrents.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the component /managers/enable_requests.php of Gazelle commit 63b3370 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the view parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS