CVE-2024-5959

Stored XSS w Eliz Software Panel — wstrzyknięcie skryptu po stronie serwera

CVSS 9.3v4.0pub. 2024-09-18upd. 2026-06-03

W aplikacji Eliz Software Panel wykryto podatność typu Stored XSS (CWE-79), umożliwiającą trwałe wstrzyknięcie złośliwego kodu skryptowego do stron generowanych przez aplikację. Podatność jest krytyczna, ponieważ umożliwia przejęcie kontroli nad sesją użytkownika oraz eskalację uprawnień w kontekście aplikacji.

▸ Pokaż oryginał (EN)

Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') vulnerability in Eliz Software Panel allows Stored XSS. This issue affects Panel: before v2.3.24.

🤖 Analiza AI

Jak działa

Aplikacja Eliz Software Panel nieprawidłowo neutralizuje dane wejściowe przed ich wyświetleniem na stronach internetowych. Atakujący z uprawnieniami co najmniej zwykłego użytkownika może zapisać złośliwy payload JavaScript w danych przechowywanych przez aplikację. Każdy użytkownik, który następnie otworzy stronę zawierającą ten payload, nieświadomie wykona osadzony skrypt w swoim kontekście przeglądarki. Podatność ma charakter Stored XSS — oznacza to, że złośliwy kod jest trwale przechowywany po stronie serwera i nie wymaga każdorazowego dostarczania przez atakującego.

Skutki

Atakujący może przejąć sesje innych użytkowników (w tym administratorów), wykonywać działania w ich imieniu, wykradać dane uwierzytelniające oraz modyfikować treści aplikacji. Wysoki wpływ na poufność, integralność i dostępność zarówno w kontekście systemów bezpośrednich, jak i powiązanych wskazuje na potencjalne poważne konsekwencje dla całego środowiska aplikacyjnego.

Mitygacja

Należy niezwłocznie zaktualizować Eliz Software Panel do wersji v2.3.24 lub nowszej. Szczegółowe informacje dostępne są w referencjach producenta oraz w biuletynie bezpieczeństwa USOM (TR-24-1497).

Kogo dotyczy

Eliz Software Panel w wersjach wcześniejszych niż v2.3.24.

Uwagi

Podatność została zgłoszona przez tureckie centrum cyberbezpieczeństwa USOM/SIBERGUVENLIK pod identyfikatorem TR-24-1497. Informacja opublikowana 18 września 2024 r.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X