Към съдържанието
Търсене

CVE-2024-22414: DogukanUrker flaskBlog, XSS

6.5

CVSS 3.1

0,4%

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

flaskBlog is a simple blog app built with Flask. Improper storage and rendering of the `/user/<user>` page allows a user's comments to execute arbitrary javascript code. The html template `user.html` contains the following code snippet to render comments made by a user: `<div class="content" tag="content">{{comment[2]|safe}}</div>`. Use of the "safe" tag causes flask to _not_ escape the rendered content. To remediate this, simply remove the `|safe` tag from the HTML above. No fix is is available and users are advised to manually edit their installation.

Засегнати продукти

  • DogukanUrker flaskBlog: *

Вид слабост

История

  • 17 януари 2024 Публикувано

Други уязвимости в DogukanUrker flaskBlog

Първоизточници

CVE-2024-22414: DogukanUrker flaskBlog, XSS | freedomonline.bg