BDU:2024-02336

Опубликовано: 25 мар. 2024

Источник: fstec

CVSS3: 4.7

CVSS2: 4

EPSS Низкий

Описание

Уязвимость параметра contentLink веб-приложения phpMyFAQ связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить межсайтовые сценарные атаки (XSS) путем внедрения вредоносного HTML-кода

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

phpMyFAQ

Версия ПО

от 3.2.5 до 3.2.6 (phpMyFAQ)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/thorsten/phpMyFAQ/security/advisories/GHSA-48vw-jpf8-hwqh

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-28108
CVE

EPSS

Процентиль: 70%

0.00628

Низкий

4.7 Medium

CVSS3

4 Medium

CVSS2

Связанные уязвимости

CVE-2024-28108

CVSS3: 4.7

nvd

почти 2 года назад

phpMyFAQ is an open source FAQ web application for PHP 8.1+ and MySQL, PostgreSQL and other databases. Due to insufficient validation on the `contentLink` parameter, it is possible for unauthenticated users to inject HTML code to the page which might affect other users. _Also, requires that adding new FAQs is allowed for guests and that the admin doesn't check the content of a newly added FAQ._ This vulnerability is fixed in 3.2.6.

GHSA-48vw-jpf8-hwqh

CVSS3: 5.1

github