BDU:2024-06197

Опубликовано: 26 июл. 2024

Источник: fstec

CVSS3: 3.5

CVSS2: 4

EPSS Низкий

Описание

Уязвимость компонента User Profile Handler сервера для создания веб-блогов Apache Roller существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку межсайтового скриптинга (XSS)

Вендор

Apache Software Foundation

Наименование ПО

Roller

Версия ПО

от 5.0.0 до 6.1.3 (Roller)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)

Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,5)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://lists.apache.org/thread/lb50jqyxwf8jrfpydl6dc5zpqtpgrrwd

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-25090
CVE

EPSS

Процентиль: 71%

0.00678

Низкий

3.5 Low

CVSS3

4 Medium

CVSS2

Связанные уязвимости

CVE-2024-25090

CVSS3: 5.4

nvd

больше 1 года назад

Insufficient input validation and sanitation in Profile name & screenname, Bookmark name & description and blogroll name features in all versions of Apache Roller on all platforms allows an authenticated user to perform an XSS attack. Mitigation: if you do not have Roller configured for untrusted users, then you need to do nothing because you trust your users to author raw HTML and other web content. If you are running with untrusted users then you should upgrade to Roller 6.1.3. This issue affects Apache Roller: from 5.0.0 before 6.1.3. Users are recommended to upgrade to version 6.1.3, which fixes the issue.

GHSA-g9rf-qc6j-h2f7