Към съдържанието
Търсене

CVE-2024-4353: Concrete CMS, невалидиран вход

4.6

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Concrete CMS versions 9.0.0 through 9.3.2 are affected by a stored XSS vulnerability in the generate dashboard board instance functionality. The Name input field does not check the input sufficiently letting a rogue administrator have the capability to inject malicious JavaScript code. The Concrete CMS security team gave this vulnerability a CVSS v4 score of 4.6 with a vector of CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N. Concrete versions below 9 are not affected by this vulnerability.Thanks fhAnso for reporting. (CNA updated this risk rank on 17 Jan 2025 by lowering the AC based on CVSS 4.0 documentation that access privileges should not be considered for AC).

Засегнати продукти

  • Concrete CMS Concrete CMS: 9.0.0 до 9.3.2
  • concretecms concrete_cms: 9.0.0 до 9.3.2

Вид слабост

История

  • 1 август 2024 Публикувано

Други уязвимости в Concrete CMS Concrete CMS

Първоизточници

CVE-2024-4353: Concrete CMS, невалидиран вход | freedomonline.bg