CVE-2024-58297
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
PyroCMS v3.0.1 zawiera podatność przechowywanego cross-site scripting (XSS) w konfiguracji przekierowań w panelu administracyjnym, która pozwala atakującym wstrzykiwać złośliwe skrypty. Ładunek w polu 'Redirect From' wykonuje dowolny JavaScript, gdy administratorzy przeglądają stronę przekierowań.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w przeglądarce administratora, co może prowadzić do kradzieży sesji i przejęcia konta administracyjnego.
Rekomendacja
Zaktualizuj PyroCMS do wersji z poprawką i wdróż kodowanie danych wejściowych w polach konfiguracji przekierowań.
Inne podatności w PyroCMS
Zobacz wszystkie- CVE-2022-37721Krytyczne
PyroCMS 3.9 zawiera podatność na trwały atak XSS, umożliwiający użytkownikowi o niskich uprawnieniach (np. autorowi) wstrzyknięcie złośliwego kodu HTML i JavaScript w treści wpisu blogowego. Może to prowadzić do przejęcia konta administratora lub eskalacji uprawnień.
- CVE-2022-35118Średnie
W PyroCMS w wersji 3.9 odkryto wiele podatności na ataki typu cross-site scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
PyroCMS v3.0.1 contains a stored cross-site scripting vulnerability in the admin redirects configuration that allows attackers to inject malicious scripts. Attackers can insert a payload in the 'Redirect From' field to execute arbitrary JavaScript when administrators view the redirects page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS