CVE-2024-54994
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W MonicaHQ w wersji 4.1.2 odkryto wiele podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach first_name i last_name w funkcji dodawania nowej relacji.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, przejęcia konta lub wyświetlenia fałszywych treści użytkownikom.
Rekomendacja
Należy natychmiast zaktualizować MonicaHQ do najnowszej dostępnej wersji oraz zastosować walidację i kodowanie danych wejściowych dla parametrów first_name i last_name.
Inne podatności w MonicaHQ
Zobacz wszystkie- CVE-2024-54999Średnie
W MonicaHQ w wersji 4.1.2 odkryto podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) w module Informacje ogólne, wykorzystującą parametr last_name.
- CVE-2024-54998Średnie
W MonicaHQ w wersji 4.1.2 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) poprzez parametr Reason w ścieżce /people/h:[id]/debts/create.
- CVE-2024-54997Średnie
W MonicaHQ w wersji 4.1.1 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta. Luka występuje w polu tekstowym wpisu w ścieżce /journal/entries/ID/edit.
- CVE-2024-54996Wysokie
W MonicaHQ w wersji 4.1.2 odkryto wiele uwierzytelnionych podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach title i description w ścieżce /people/ID/reminders/create.
Oryginalny opis (angielski, źródło NVD)
MonicaHQ v4.1.2 was discovered to contain multiple Client-Side Injection vulnerabilities via the first_name and last_name parameters in the Add a new relationship feature.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS