CVE-2022-37721
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
PyroCMS 3.9 zawiera podatność na trwały atak XSS, umożliwiający użytkownikowi o niskich uprawnieniach (np. autorowi) wstrzyknięcie złośliwego kodu HTML i JavaScript w treści wpisu blogowego. Może to prowadzić do przejęcia konta administratora lub eskalacji uprawnień.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad kontem administratora, co skutkuje nieautoryzowanym dostępem do danych, modyfikacją treści lub całkowitym przejęciem systemu CMS.
Rekomendacja
Należy natychmiast zaktualizować PyroCMS do najnowszej wersji, która usuwa tę podatność. Dodatkowo wdrożyć filtrowanie wejściowe i kodowanie wyjściowe dla wszystkich pól treści.
Inne podatności w PyroCMS
Zobacz wszystkie- CVE-2024-58297Średnie
PyroCMS v3.0.1 zawiera podatność przechowywanego cross-site scripting (XSS) w konfiguracji przekierowań w panelu administracyjnym, która pozwala atakującym wstrzykiwać złośliwe skrypty. Ładunek w polu 'Redirect From' wykonuje dowolny JavaScript, gdy administratorzy przeglądają stronę przekierowań.
- CVE-2022-35118Średnie
W PyroCMS w wersji 3.9 odkryto wiele podatności na ataki typu cross-site scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
PyroCMS 3.9 is vulnerable to a stored Cross Site Scripting (XSS_ when a low privileged user such as an author, injects a crafted html and javascript payload in a blog post, leading to full admin account takeover or privilege escalation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS