CVE-2024-58289
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Microweber 2.0.15 zawiera podatność przechowywanego cross-site scripting (XSS), która pozwala uwierzytelnionym atakującym wstrzykiwać złośliwe skrypty w pola profilu użytkownika. Ładunki w polu imienia wykonują się, gdy profil jest przeglądany przez innych użytkowników, co może prowadzić do kradzieży ciasteczek sesji.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny JavaScript w przeglądarkach innych użytkowników, co może skutkować kradzieżą sesji i nieautoryzowanymi działaniami.
Rekomendacja
Zaktualizuj Microweber do wersji z poprawką i wdróż walidację oraz kodowanie danych wejściowych w polach profilu użytkownika.
Inne podatności w Microweber
Zobacz wszystkie- CVE-2026-5696Średnie
Odzwierciedlony Cross-Site Scripting (XSS) w Microweber. Podatność leży w parametrze 'group' w punkcie końcowym '/admin/settings' w panelu administracyjnym. Udany atak pozwala atakującemu nakłonić uwierzytelnionego użytkownika do wykonania złośliwego kodu JavaScript w jego przeglądarce.
- CVE-2026-12198Wysokie
W Microweber do wersji 2.0.20 stwierdzono podatność path traversal w funkcji userfiles_path pliku /api_nosession/thumbnail_img komponentu API Endpoint poprzez manipulację argumentem cache_path_relative. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2024-40101Średnie
W Microweber 2.0.15 i wcześniejszych wersjach wykryto podatność na odbity atak XSS w ścieżce '/search'. Niezautoryzowany atakujący może wstrzyknąć dowolny skrypt lub kod HTML poprzez parametr 'keywords'.
- CVE-2020-23136Średnie
Podatność w Microweber v1.1.18 powoduje, że sesja użytkownika nie wygasa po wylogowaniu. Oznacza to, że atakujący może wykorzystać ważną sesję do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
Microweber 2.0.15 contains a stored cross-site scripting vulnerability that allows authenticated attackers to inject malicious scripts into user profile fields. Attackers can input script payloads in the first name field that will execute when the profile is viewed by other users, potentially stealing session cookies and executing arbitrary JavaScript.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS