Podatności hortusfox-web

HortusFox-Web przed wersją 6.1 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW poprzez nadużycie funkcji Import/Export. Atakujący mogą wykorzystać funkcję Import/Export, przeznaczoną wyłącznie do przenoszenia danych, do wdrożenia i wykonania złośliwego kodu na hoście serwera aplikacji.

Podatność XSS w endpointcie /tasks aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez parametr title. Atak może zostać wykonany bez uwierzytelnienia, jeśli aplikacja nie wymaga autoryzacji dla tego endpointu.

Podatność XSS w endpointcie /controller/admin.php aplikacji hortusfox-web v4.4 umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript do parametru email, który jest wykonywany w przeglądarce ofiary.

Podatność XSS w punkcie końcowym /Calendar aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do funkcji dodawania, który wykonuje się w przeglądarce ofiary.