CVE-2024-54997
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W MonicaHQ w wersji 4.1.1 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta. Luka występuje w polu tekstowym wpisu w ścieżce /journal/entries/ID/edit.
Ocena ryzyka
Atakujący z uwierzytelnionym dostępem może wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, modyfikacji treści lub innych ataków na użytkowników przeglądających wpisy.
Rekomendacja
Należy zaktualizować MonicaHQ do najnowszej wersji, która zawiera poprawkę. Do czasu aktualizacji należy ograniczyć dostęp do funkcji edycji wpisów tylko dla zaufanych użytkowników.
Inne podatności w MonicaHQ
Zobacz wszystkie- CVE-2024-54999Średnie
W MonicaHQ w wersji 4.1.2 odkryto podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) w module Informacje ogólne, wykorzystującą parametr last_name.
- CVE-2024-54998Średnie
W MonicaHQ w wersji 4.1.2 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) poprzez parametr Reason w ścieżce /people/h:[id]/debts/create.
- CVE-2024-54996Wysokie
W MonicaHQ w wersji 4.1.2 odkryto wiele uwierzytelnionych podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach title i description w ścieżce /people/ID/reminders/create.
- CVE-2024-54994Średnie
W MonicaHQ w wersji 4.1.2 odkryto wiele podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach first_name i last_name w funkcji dodawania nowej relacji.
Oryginalny opis (angielski, źródło NVD)
MonicaHQ v4.1.1 was discovered to contain an authenticated Client-Side Injection vulnerability via the entry text field at /journal/entries/ID/edit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS