CVE-2024-45933
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
OnlineNewsSite v1.0 zawiera podatność na atak XSS (Cross Site Scripting) w punkcie końcowym /admin/post/edit/. Atakujący może wstrzyknąć złośliwy kod JavaScript przez pola Title i Summary, co prowadzi do wykonania dowolnego kodu w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania w organizacji poprzez wstrzyknięcie skryptów w treści postów.
Rekomendacja
Należy natychmiast zaktualizować OnlineNewsSite do najnowszej wersji oraz zastosować walidację i sanityzację danych wejściowych dla pól Title i Summary, a także wdrożyć nagłówki Content Security Policy (CSP).
Oryginalny opis (angielski, źródło NVD)
OnlineNewsSite v1.0 is vulnerable to Cross Site Scripting (XSS) which allows attackers to execute arbitrary code via the Title and summary fields in the /admin/post/edit/ endpoint.