CVE-2024-54998
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W MonicaHQ w wersji 4.1.2 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) poprzez parametr Reason w ścieżce /people/h:[id]/debts/create.
Ocena ryzyka
Atakujący z uwierzytelnieniem może wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych innych użytkowników.
Rekomendacja
Należy zaktualizować MonicaHQ do najnowszej wersji oraz zastosować walidację i kodowanie danych wejściowych dla parametru Reason.
Inne podatności w MonicaHQ
Zobacz wszystkie- CVE-2024-54999Średnie
W MonicaHQ w wersji 4.1.2 odkryto podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) w module Informacje ogólne, wykorzystującą parametr last_name.
- CVE-2024-54997Średnie
W MonicaHQ w wersji 4.1.1 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta. Luka występuje w polu tekstowym wpisu w ścieżce /journal/entries/ID/edit.
- CVE-2024-54996Wysokie
W MonicaHQ w wersji 4.1.2 odkryto wiele uwierzytelnionych podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach title i description w ścieżce /people/ID/reminders/create.
- CVE-2024-54994Średnie
W MonicaHQ w wersji 4.1.2 odkryto wiele podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach first_name i last_name w funkcji dodawania nowej relacji.
Oryginalny opis (angielski, źródło NVD)
MonicaHQ v4.1.2 was discovered to contain an authenticated Client-Side Injection vulnerability via the Reason parameter at /people/h:[id]/debts/create.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS