CVE-2022-50969
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Refleksyjne XSS w module backend/mailingLog/manage w uBidAuction 2.0.1 przez niesanitizowane parametry date_created, date_from, date_to i created_at, umożliwiające zdalnemu atakującemu wstrzyknięcie złośliwego skryptu przez spreparowane żądania GET.
Ocena ryzyka
Ryzyko wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj uBidAuction do wersji 2.0.2 lub nowszej zawierającej poprawkę.
Oryginalny opis (angielski, źródło NVD)
uBidAuction 2.0.1 contains a reflected cross-site scripting vulnerability in the backend/mailingLog/manage module. The date_created, date_from, date_to, and created_at parameters in the filter functionality are not properly sanitized, allowing remote attackers to inject malicious scripts via crafted GET requests that execute in victims' browsers.