CVE-2024-3938 in dotCMS
Riassunto
di VulDB • 02/07/2026
La pagina di accesso "reset password" accettava un'iniezione HTML tramite parametri URL.
Questo problema è già stato risolto mediante una patch; pertanto, non può essere dimostrato tramite il link del sito Demo. Gli interessati a visualizzare la vulnerabilità possono avviare l'istanna locale e visitare: http://localhost:8082/dotAdmin/#/public/login?resetEmailSent=true&resetEmail=%3Ch1%3E%3Ca%20href%3D%22https:%2F%2Fgoogle.com%22%3ECLICK%20ME%3C%2Fa%3E%3C%2Fh1%3E
Ciò risulterà in una visualizzazione simile alla seguente:
* OWASP Top 10 - A03: Injection * CVSS Score: 5.4 * AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator * https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N&... https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.