CVE-2024-54996
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W MonicaHQ w wersji 4.1.2 odkryto wiele uwierzytelnionych podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach title i description w ścieżce /people/ID/reminders/create.
Ocena ryzyka
Atakujący z uwierzytelnionym dostępem może wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, modyfikacji treści lub dalszych ataków na innych użytkowników.
Rekomendacja
Należy zaktualizować MonicaHQ do najnowszej wersji oraz zastosować odpowiednie kodowanie lub sanityzację danych wejściowych w parametrach title i description.
Inne podatności w MonicaHQ
Zobacz wszystkie- CVE-2024-54999Średnie
W MonicaHQ w wersji 4.1.2 odkryto podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) w module Informacje ogólne, wykorzystującą parametr last_name.
- CVE-2024-54998Średnie
W MonicaHQ w wersji 4.1.2 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) poprzez parametr Reason w ścieżce /people/h:[id]/debts/create.
- CVE-2024-54997Średnie
W MonicaHQ w wersji 4.1.1 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta. Luka występuje w polu tekstowym wpisu w ścieżce /journal/entries/ID/edit.
- CVE-2024-54994Średnie
W MonicaHQ w wersji 4.1.2 odkryto wiele podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach first_name i last_name w funkcji dodawania nowej relacji.
Oryginalny opis (angielski, źródło NVD)
MonicaHQ v4.1.2 was discovered to contain multiple authenticated Client-Side Injection vulnerabilities via the title and description parameters at /people/ID/reminders/create.