CVE-2024-3938 in dotCMS
要約
〜によって VulDB • 2026年07月02日
「パスワードリセット」ログインページは、URLパラメータを介してHTMLインジェクションを受け付けることが確認されました。
この問題はすでにパッチによって修正されており、デモサイトリンクからは再現できません。脆弱性を直接確認したい場合は、以下のローカル環境でテスト用インスタンスを立ててアクセスしてください： http://localhost:8082/dotAdmin/#/public/login?resetEmailSent=true&resetEmail=%3Ch1%3E%3Ca%20href%3D%22https:%2F%2Fgoogle.com%22%3ECLICK%20ME%3C%2Fa%3E%3C%2Fh1%3E
これにより、以下のような表示結果が得られます：
* OWASP Top 10 - A03: インジェクション * CVSS スコア: 5.4 * AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator * https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N&... https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.