CVE-2018-25249
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka My Arcade 1.3 dla MyBB zawiera trwałą podatność na ataki XSS, umożliwiającą uwierzytelnionym użytkownikom wstrzykiwanie złośliwych skryptów przez komentarze do wyników gier. Atakujący mogą dodać spreparowany kod HTML i JavaScript w polu komentarza, który wykonuje się, gdy inni użytkownicy przeglądają lub edytują ten komentarz.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania wśród użytkowników forum, co może naruszyć zaufanie do platformy i spowodować straty reputacyjne.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki My Arcade do najnowszej wersji, która usuwa tę podatność, oraz wdrożenie filtrowania danych wejściowych dla pól komentarzy.
Oryginalny opis (angielski, źródło NVD)
MyBB My Arcade Plugin 1.3 contains a persistent cross-site scripting vulnerability that allows authenticated users to inject malicious scripts through arcade game score comments. Attackers can add crafted HTML and JavaScript payloads in the comment field that execute when other users view or edit the comment.