CVE-2024-46605
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak typu cross-site scripting (XSS) w komponencie /admin.php?page=album. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania w organizacji poprzez wstrzyknięcie skryptów w panelu administracyjnym.
Rekomendacja
Należy natychmiast zaktualizować Piwigo do najnowszej dostępnej wersji oraz zastosować filtrowanie i sanityzację danych wejściowych w polu Opis albumu.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the component /admin.php?page=album of Piwigo v14.5.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Description field.