CVE-2024-46606
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak XSS w komponencie /admin.php?page=photo. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania poprzez wyświetlenie spreparowanego opisu zdjęcia.
Rekomendacja
Należy niezwłocznie zaktualizować Piwigo do najnowszej wersji oraz zastosować filtrowanie wejściowe dla pól tekstowych, w szczególności dla opisu zdjęcia.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability in the component /admin.php?page=photo of Piwigo v14.5.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the Description field.