PT-2024-31610 · Craft Cms · Craft Cms

Amame04 · Publicado 2024-09-09 · Atualizado 2025-03-10 · CVE-2024-45406

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas:

Craft CMS 5 (versões afetadas não especificadas)

Descrição:

O problema está relacionado a um XSS armazenado que pode ser acionado pela lista de navegação e pelos campos de título com entrada do usuário. Usuários mal-intencionados podem adulterar o painel de controle. A vulnerabilidade pode ser explorada em várias páginas, incluindo a página /admin/categories, a página de edição de categorias, a página /admin/entries, a página de edição de entradas e a página /admin/myaccount. A coluna title e username ou full name na lista de navegação não são sanitizadas, permitindo que o XSS seja acionado.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-80

CWE-79

Identificadores relacionados

CVE-2024-45406

GHSA-28H4-788G-RH42

Produtos afetados

Craft Cms

Referências · 12

• 🔥 https://github.com/craftcms/cms/security/advisories/GHSA-28h4-788g-rh42 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45406.json · Exploit
• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/commit/b7348942f8131b3868ec6f46d615baae50151bb8 · Correção
• https://twitter.com/CVEnew/status/1833186812766130322 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-28h4-788g-rh42 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-45406 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1833211878262092272 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-45406 · Aviso do Fabricante
• https://t.me/cvenotify/93855 · Publicação no Telegram
• https://twitter.com/WolfgangSesin/status/1899223414662947157 · Publicação no Twitter
• https://t.me/cvedetector/5116 · Publicação no Telegram