CVE-2022-50962
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W module orders/myOrders w uBidAuction 2.0.1 występuje odbita podatność XSS. Parametry date_created, date_from, date_to i created_at w funkcji filtrowania nie są odpowiednio oczyszczane, co pozwala zdalnemu atakującemu wstrzyknąć złośliwy skrypt przez spreparowane żądanie GET, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykraść dane wrażliwe, co zagraża poufności i integralności systemu.
Rekomendacja
Należy zaktualizować uBidAuction do najnowszej wersji, w której poprawiono filtrowanie parametrów, oraz zastosować walidację wejścia po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
uBidAuction 2.0.1 contains a reflected cross-site scripting vulnerability in the orders/myOrders module. The date_created, date_from, date_to, and created_at parameters in the filter functionality are not properly sanitized, allowing remote attackers to inject malicious scripts via crafted GET requests that execute in victims' browsers.