Tóm tắt nhanh
- CVE-2024-28106 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng phpmyfaq/phpmyfaq, phpmyfaq (phpmyfaq).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.54%, cao hơn 45.6% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.2.6 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| phpmyfaq/phpmyfaq Packagist | ≥ 3.2.5, < 3.2.6
| 3.2.6
|
| phpmyfaq | = 3.2.5
| Chưa có bản vá |
Mô tả
Summary
By manipulating the news parameter in a POST request, an attacker can inject malicious JavaScript code. Upon browsing to the compromised news page, the XSS payload triggers.
PoC
- Edit a FAQ news, intercept the request and modify the
news parameter in the POST body with the following payload: %3cscript%3ealert('xssContent')%3c%2fscript%3e
- Browse to the particular news page and the XSS should pop up.
Impact
This allows an attacker to execute arbitrary client side JavaScript within the context of another user's phpMyFAQ session
Mô tả của NVD
phpMyFAQ is an open source FAQ web application for PHP 8.1+ and MySQL, PostgreSQL and other databases. By manipulating the news parameter in a POST request, an attacker can inject malicious JavaScript code. Upon browsing to the compromised news page, the XSS payload triggers. This vulnerability is fixed in 3.2.6.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí