CVE-2023-36222
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność na atak typu Cross Site Scripting (XSS) w systemie bbs-go w wersji 3.5.5 i wcześniejszych. Zdalny atakujący może wykonać dowolny kod poprzez spreparowany parametr komentarza w funkcji artykułu.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego skryptu, który może zostać wykonany w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji, przekierowań lub innych szkodliwych działań.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu bbs-go do wersji nowszej niż 3.5.5 oraz wdrożenie walidacji i sanityzacji danych wejściowych dla parametru komentarza.
Inne podatności w bbs-go
Zobacz wszystkie- CVE-2026-121452Średnie
bbs-go do wersji 4.4.6 zawiera podatność nieprawidłowej walidacji certyfikatu, która pozwala atakującym w pozycji sieciowej przechwycić ruch SMTP, ponieważ sendEmail() ustawia InsecureSkipVerify na true. Atakujący mogą przedstawić dowolny certyfikat, aby przechwycić poświadczenia SMTP PLAIN oraz czytać lub modyfikować wychodzące e-maile resetowania hasła i weryfikacji.
- CVE-2026-103396Średnie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uprawnień w logice autoryzacji AdminMiddleware, gdzie reguła uprawnień dashboard.user.view (tylko do odczytu) pasuje do endpointu /api/admin/user/synccount przed zamierzoną regułą dashboard.user.update. Uwierzytelnieni użytkownicy z uprawnieniami tylko do odczytu mogą wywołać endpoint synccount, aby wywołać kosztowne przeliczenia całej tabeli użytkowników i unieważnienia pamięci podręcznej, powodując denial of service poprzez powtarzające się równoczesne operacje na bazie danych.
- CVE-2026-111639Wysokie
bbs-go do wersji 4.4.6 zawiera podatność polegającą na obejściu uwierzytelniania w endpoincie /api/login/google_one_tap, która pozwala zdalnym atakującym zalogować się jako inni użytkownicy, przesyłając tokeny Google ID wydane dla dowolnego klienta OAuth. Atakujący prowadzący własnego klienta Google OAuth może przechwycić podpisany przez Google token ID ofiary i odtworzyć go, ponieważ roszczenie aud nie jest nigdy sprawdzane, aby uzyskać uwierzytelnioną sesję jako konto ofiary powiązane z Google.
- CVE-2026-110103Średnie
bbs-go (wersje do 4.4.6) zawiera podatność trwałego skryptowania między witrynami (stored XSS), która umożliwia uwierzytelnionym użytkownikom przesyłanie plików HTML lub SVG przez fałszowanie typu multipart Content-Type w POST /api/upload. Atakujący mogą przesyłać dokumenty ze skryptami, które są serwowane inline z /res, a następnie wysyłać ich URL administratorom, co powoduje wykonanie skryptu w kontekście domeny forum.
- CVE-2023-36223Średnie
Podatność na atak XSS w systemie bbs-go w wersji 3.5.5 i wcześniejszych umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez spreparowany parametr 'announcements' w funkcji ustawień.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in mlogclub bbs-go v. 3.5.5. and before allows a remote attacker to execute arbitrary code via a crafted payload to the comment parameter in the article function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS