CVE-2024-57041
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
W NodeBB w wersji 3.11.0 wykryto podatność na trwałe cross-site scripting (XSS). Atakujący może przechowywać dowolny kod JavaScript w sekcji 'O mnie' swojego profilu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarkach innych użytkowników odwiedzających profil atakującego, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować NodeBB do najnowszej dostępnej wersji, która zawiera poprawkę dla tej podatności. Dodatkowo warto wdrożyć filtrowanie wejścia i kodowanie wyjścia dla pól profilu.
Oryginalny opis (angielski, źródło NVD)
A persistent cross-site scripting (XSS) vulnerability in NodeBB v3.11.0 allows remote attackers to store arbitrary code in the 'about me' section of their profile.