Katalog CVE
CVE-2024-54998
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.36%
Percentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W MonicaHQ w wersji 4.1.2 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) poprzez parametr Reason w ścieżce /people/h:[id]/debts/create.
Ocena ryzyka
Atakujący z uwierzytelnieniem może wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych innych użytkowników.
Rekomendacja
Należy zaktualizować MonicaHQ do najnowszej wersji oraz zastosować walidację i kodowanie danych wejściowych dla parametru Reason.
Oryginalny opis (angielski, źródło NVD)
MonicaHQ v4.1.2 was discovered to contain an authenticated Client-Side Injection vulnerability via the Reason parameter at /people/h:[id]/debts/create.