CVE-2025-2609
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W systemie MagnusBilling do wersji 7.3.0 włącznie, w pliku protected/components/MagnusLog.php występuje podatność na ataki XSS (Cross-Site Scripting). Niezautoryzowani użytkownicy mogą przechowywać złośliwy kod HTML w logach logowania, który jest następnie wyświetlany w komponencie widoku logów dostępnym pod adresem /mbilling/index.php/logUsers/read.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora przeglądającego logi, co może prowadzić do kradzieży sesji, przejęcia konta lub kradzieży wrażliwych danych.
Rekomendacja
Należy niezwłocznie zaktualizować system MagnusBilling do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do interfejsu logów tylko dla zaufanych administratorów oraz zastosować filtrowanie wejścia w pliku MagnusLog.php.
Inne podatności w MagnusBilling
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of input during web page generation vulnerability in MagnusSolution MagnusBilling login logging allows unauthenticated users to store HTML content in the viewable log component accessible at /mbilling/index.php/logUsers/read" cross-site scripting This vulnerability is associated with program files protected/components/MagnusLog.Php. This issue affects MagnusBilling: through 7.3.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS