CVE-2025-59545

XSS w module Prompt platformy DNN (DotNetNuke) — wykonanie skryptu

CVSS 9.0v3.1pub. 2025-09-23upd. 2025-09-29

Podatność typu XSS w module Prompt platformy DNN (DotNetNuke) pozwala na wykonanie złośliwego kodu skryptowego w kontekście przeglądarki ofiary. Dotyczy wszystkich wersji przed 10.1.0 i uzyskała ocenę CVSS 9.0 (CRITICAL).

▸ Pokaż oryginał (EN)

DNN (formerly DotNetNuke) is an open-source web content management platform (CMS) in the Microsoft ecosystem. Prior to version 10.1.0, the Prompt module allows execution of commands that can return raw HTML. Malicious input, even if sanitized for display elsewhere, can be executed when processed through certain commands, leading to potential script execution (XSS). This issue has been patched in version 10.1.0.

🤖 Analiza AI

Jak działa

Moduł Prompt w DNN umożliwia wykonywanie poleceń, które mogą zwracać surowy kod HTML. Złośliwe dane wejściowe, nawet jeśli zostają prawidłowo sanityzowane w innych miejscach aplikacji, mogą zostać przetworzone przez określone polecenia modułu Prompt bez odpowiedniego oczyszczenia. Skutkuje to osadzeniem i wykonaniem niekontrolowanego kodu skryptowego (XSS) w przeglądarce użytkownika.

Skutki

Atakujący może wykonać dowolny kod JavaScript w kontekście sesji zalogowanego użytkownika, co może prowadzić do przejęcia konta, kradzieży danych sesji lub dalszego naruszenia integralności i poufności aplikacji.

Mitygacja

Należy zaktualizować platformę DNN do wersji 10.1.0 lub nowszej, w której problem został naprawiony. Szczegóły dostępne w referencjach producenta: https://github.com/dnnsoftware/Dnn.Platform/security/advisories/GHSA-2qxc-mf4x-wr29

Kogo dotyczy

DNN (DotNetNuke) we wszystkich wersjach przed 10.1.0

Uwagi

Podatność wymaga interakcji użytkownika (UI:R) oraz uwierzytelnienia z niskimi uprawnieniami (PR:L), jednak zakres ataku wykracza poza komponent źródłowy (S:C), co uzasadnia krytyczną ocenę CVSS 9.0.