CVE-2024-50659
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w oprogramowaniu AdPortal 3.0.39 firmy iPublish Media Solutions umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametr shippingAsBilling w pliku updateuserinfo.html.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego skryptu w kontekście sesji administratora, co może prowadzić do kradzieży danych, przejęcia konta lub dalszej eskalacji uprawnień w systemie.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie AdPortal do najnowszej wersji, która usuwa tę podatność, oraz zastosować filtrowanie i walidację danych wejściowych dla parametru shippingAsBilling.
Inne podatności w AdPortal
Zobacz wszystkie- CVE-2024-50660Krytyczne
W AdPortal 3.0.39 wykryto obejście mechanizmu przesyłania plików, które umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję przesyłania plików.
- CVE-2024-50658Krytyczne
W AdPortal 3.0.39 wykryto podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Zdalny atakujący może wykorzystać parametry shippingAsBilling i firstname w pliku updateuserinfo.html do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability iPublish Media Solutions AdPortal 3.0.39 allows a remote attacker to escalate privileges via the shippingAsBilling parameter in updateuserinfo.html.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS