CVE-2024-55488
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie Umbraco CMS w wersji 14.3.1 wykryto podatność na trwały atak XSS, umożliwiającą atakującemu wykonanie dowolnego skryptu lub kodu HTML poprzez spreparowany ładunek. Należy jednak zaznaczyć, że producent kwestionuje to zgłoszenie, argumentując, że atak jest możliwy tylko dla uwierzytelnionych użytkowników z ręcznie przyznanym dostępem do CMS, a decyzja o braku sanitacji HTML była celowa.
Ocena ryzyka
Ryzyko dla organizacji jest ograniczone, ponieważ exploit wymaga uwierzytelnionego użytkownika z dostępem do CMS. W przypadku naruszenia konta takiego użytkownika, atakujący może wstrzyknąć złośliwy kod, co może prowadzić do kradzieży danych sesji lub deface'u strony.
Rekomendacja
Zaleca się ograniczenie dostępu do panelu administracyjnego Umbraco CMS tylko do zaufanych użytkowników oraz wdrożenie dodatkowych mechanizmów bezpieczeństwa, takich jak Content Security Policy (CSP) i walidacja danych wejściowych po stronie serwera.
Inne podatności w Umbraco CMS
Zobacz wszystkie- CVE-2025-67288Krytyczne
Podatność w Umbraco CMS v16.3.3 umożliwia atakującemu przesłanie spreparowanego pliku PDF, co może prowadzić do wykonania dowolnego kodu. Producent kwestionuje to, wskazując, że walidacja plików leży po stronie administratora systemu, a kod JavaScript w PDF działa w izolowanym sandboxie.
- CVE-2026-46616Średnie
Umbraco to system zarządzania treścią oparty na ASP.NET. W wersjach przed 13.14.0 i 17.4.0 niektóre kontrolery Surface w CMS nie walidują URL-i przekierowań, co naraża szablony Razor, które korzystają z parametrów zapytania kontrolowanych przez użytkownika, na ataki związane z złośliwym przekierowaniem.
- CVE-2023-37267Wysokie
Umbraco, system zarządzania treścią oparty na ASP.NET, może w rzadkich warunkach po restarcie umożliwić nieautoryzowanym użytkownikom dostęp do uprawnień na poziomie administratora. Podatność została załatana w wersjach 10.6.1, 11.4.2 oraz 12.0.1.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in Umbraco CMS v14.3.1 allows attackers to execute arbitrary web scripts or HTML via a crafted payload. NOTE: This has been disputed by the vendor since this potential attack is only possible via authenticated users who have been manually allowed access to the CMS. There was a deliberate decision made not to apply HTML sanitization at the product level.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS