CVE-2024-54999
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W MonicaHQ w wersji 4.1.2 odkryto podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) w module Informacje ogólne, wykorzystującą parametr last_name.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, co prowadzi do kradzieży sesji, przejęcia konta lub wycieku danych użytkownika.
Rekomendacja
Zaleca się natychmiastową aktualizację MonicaHQ do najnowszej wersji oraz walidację i sanityzację danych wejściowych w parametrze last_name.
Inne podatności w MonicaHQ
Zobacz wszystkie- CVE-2024-54998Średnie
W MonicaHQ w wersji 4.1.2 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta (Client-Side Injection) poprzez parametr Reason w ścieżce /people/h:[id]/debts/create.
- CVE-2024-54997Średnie
W MonicaHQ w wersji 4.1.1 odkryto uwierzytelnioną podatność na wstrzykiwanie po stronie klienta. Luka występuje w polu tekstowym wpisu w ścieżce /journal/entries/ID/edit.
- CVE-2024-54996Wysokie
W MonicaHQ w wersji 4.1.2 odkryto wiele uwierzytelnionych podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach title i description w ścieżce /people/ID/reminders/create.
- CVE-2024-54994Średnie
W MonicaHQ w wersji 4.1.2 odkryto wiele podatności na wstrzykiwanie po stronie klienta. Luki występują w parametrach first_name i last_name w funkcji dodawania nowej relacji.
Oryginalny opis (angielski, źródło NVD)
MonicaHQ v4.1.2 was discovered to contain a Client-Side Injection vulnerability via the last_name parameter the General Information module.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS