CVE-2024-34224: podatność XSS w systemie zarządzania laboratorium komputerowym

Co wiadomo

W systemie zarządzania laboratorium komputerowym (wersja 1.0) wykryto podatność typu Cross Site Scripting (XSS) w pliku /php-lms/classes/Users.php?f=save. Atakujący mogą zdalnie wstrzykiwać złośliwy kod HTML lub skrypty poprzez parametry firstname, middlename oraz lastname.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji danymi lub innych działań naruszających bezpieczeństwo. Operatorzy systemów zarządzania laboratoriami komputerowymi powinni traktować tę lukę jako wysokiego ryzyka i podjąć odpowiednie kroki w celu jej załatania lub ograniczenia ekspozycji.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji lub łatek od dostawcy oprogramowania oretnom23. W międzyczasie warto ograniczyć dostęp do funkcji zapisu użytkowników, monitorować logi pod kątem podejrzanych działań oraz stosować mechanizmy filtrowania i walidacji danych wejściowych. Priorytetowo należy wdrożyć środki zapobiegające wstrzykiwaniu skryptów w parametrach firstname, middlename i lastname.

Źródła

• NVD
• Reference