Eine problematische Schwachstelle wurde in NukeViet CMS entdeckt. Hierbei geht es um die Funktion filterAttr der Datei vendor/vinades/nukeviet/Core/Request.php der Komponente Data URL Handler. Dank der Manipulation des Arguments attrSubSet mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-79. Der Fehler wurde am 13.11.2022 als 0b3197fad950bb3383e83039a8ee4c9509b3ce02 veröffentlicht. Auf github.com kann das Advisory eingesehen werden. Die Identifikation der Schwachstelle findet als CVE-2022-3975 statt. Umgesetzt werden kann der Angriff über das Netzwerk. Es sind technische Details verfügbar. Es ist soweit kein Exploit verfügbar. MITRE ATT&CK führt die Angriffstechnik T1059.007 für diese Schwachstelle. Er gilt als nicht definiert. Während seiner Zeit als 0-Day erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Ein Aktualisieren auf die Version 4.5 vermag dieses Problem zu lösen. Eine neue Version kann von github.com bezogen werden. Der Patch wird als 0b3197fad950bb3383e83039a8ee4c9509b3ce02 bezeichnet. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle.