CVE-2023-39521
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W Tuleap Community Edition przed wersją 14.11.99.28 oraz Tuleap Enterprise Edition przed wersjami 14.10-6 i 14.11-3, zawartość wyświetlana w 'polach kart' nie jest odpowiednio zabezpieczona. Administratorzy dashboardu agile mogą być zmuszeni do wykonania niekontrolowanego kodu przez usunięcie kanbanu z złośliwą etykietą.
Ocena ryzyka
Organizacja może być narażona na wykonanie nieautoryzowanego kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Tuleap do wersji 14.11.99.28 dla Community Edition oraz 14.10-6 i 14.11-3 dla Enterprise Edition, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Tuleap is an open source suite to improve management of software developments and collaboration. In Tuleap Community Edition prior to version 14.11.99.28 and Tuleap Enterprise Edition prior to versions 14.10-6 and 14.11-3, content displayed in the "card fields" (visible in the kanban and PV2 apps) is not properly escaped. An agile dashboard administrator deleting a kanban with a malicious label can be forced to execute uncontrolled code. Tuleap Community Edition 14.11.99.28, Tuleap Enterprise Edition 14.10-6, and Tuleap Enterprise Edition 14.11-3 contain a fix for this issue.