CVE-2024-7075

ŚrednieCVSS 4.6

Opublikowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

Funkcja wyszukiwania użytkowników w konsoli zarządzania nie koduje prawidłowo danych wejściowych dostarczonych przez użytkownika przed wyświetleniem ich w przeglądarce. Pozwala to atakującemu na wstrzyknięcie złośliwych skryptów, które są następnie wykonywane przez przeglądarkę użytkownika w kontekście konsoli zarządzania.

Ocena ryzyka

Skuteczne wykorzystanie umożliwia atakującemu przekierowanie przeglądarki użytkownika na złośliwą witrynę, modyfikację interfejsu strony lub wyodrębnienie informacji z przeglądarki. Dzięki użyciu flagi httpOnly na wrażliwych ciasteczkach sesji przejęcie sesji i podobne ataki są jednak uniemożliwione.

Rekomendacja

Należy wdrożyć poprawkę producenta zapewniającą prawidłowe kodowanie danych wejściowych w funkcji wyszukiwania użytkowników oraz utrzymać flagę httpOnly na ciasteczkach sesji.

Inne podatności w Management console

CVE-2025-7203Średnie
Konsola zarządzania i pliki produktu ujawniają poufne dane, w tym poświadczenia zdalnego serwera logów, hasła truststore i keystore, w postaci zwykłego tekstu. Dzieje się tak, ponieważ system nie chroni wystarczająco tych poświadczeń, gdy włączona jest funkcja zdalnego logowania.

Oryginalny opis (angielski, źródło NVD)

The user search function within the management console fails to properly encode user-supplied input before rendering it in the browser. This allows an attacker to inject malicious scripts that are then executed by the user's browser in the context of the management console. Successful exploitation enables an attacker to redirect the user's browser to a malicious website, modify the web page's user interface, or extract information from the browser. However, due to the use of the httpOnly flag on sensitive session cookies, session hijacking or similar attacks are prevented.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS