Tóm tắt nhanh
- CVE-2026-33209 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng avo, avo (avohq).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.27%, cao hơn 19.0% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 3.30.3 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| avo RubyGems | < 3.30.3
| 3.30.3
|
| avo | < 3.30.3
| 3.30.3
|
Mô tả
Description
A reflected cross-site scripting (XSS) vulnerability exists in the return_to query parameter used in the avo interface.
An attacker can craft a malicious URL that injects arbitrary JavaScript, which is executed when he clicks a dynamically generated navigation button.
Impact
This vulnerability may allow execution of arbitrary JavaScript in the context of the application.
Impact varies depending on deployment:
- In unauthenticated setups: exploitable via crafted links sent to users
- In authenticated setups: limited to authenticated users and requires interaction
Mô tả của NVD
Avo is a framework to create admin panels for Ruby on Rails apps. Prior to version 3.30.3, a reflected cross-site scripting (XSS) vulnerability exists in the return_to query parameter used in the avo interface. An attacker can craft a malicious URL that injects arbitrary JavaScript, which is executed when he clicks a dynamically generated navigation button. This issue has been patched in version 3.30.3.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí