CVE-2024-55488
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie Umbraco CMS w wersji 14.3.1 wykryto podatność na trwały atak XSS, umożliwiającą atakującemu wykonanie dowolnego skryptu lub kodu HTML poprzez spreparowany ładunek. Należy jednak zaznaczyć, że producent kwestionuje to zgłoszenie, argumentując, że atak jest możliwy tylko dla uwierzytelnionych użytkowników z ręcznie przyznanym dostępem do CMS, a decyzja o braku sanitacji HTML była celowa.
Ocena ryzyka
Ryzyko dla organizacji jest ograniczone, ponieważ exploit wymaga uwierzytelnionego użytkownika z dostępem do CMS. W przypadku naruszenia konta takiego użytkownika, atakujący może wstrzyknąć złośliwy kod, co może prowadzić do kradzieży danych sesji lub deface'u strony.
Rekomendacja
Zaleca się ograniczenie dostępu do panelu administracyjnego Umbraco CMS tylko do zaufanych użytkowników oraz wdrożenie dodatkowych mechanizmów bezpieczeństwa, takich jak Content Security Policy (CSP) i walidacja danych wejściowych po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in Umbraco CMS v14.3.1 allows attackers to execute arbitrary web scripts or HTML via a crafted payload. NOTE: This has been disputed by the vendor since this potential attack is only possible via authenticated users who have been manually allowed access to the CMS. There was a deliberate decision made not to apply HTML sanitization at the product level.