NukeViet CMS przed 4.5 Data URL Request.php filterAttr attrSubSet cross site scripting

WpisHistoryDiffjsonxmlCTI

W NukeViet CMS została stwierdzona podatność. Problemem dotknięta jest funkcja filterAttr w pliku vendor/vinades/nukeviet/Core/Request.php w komponencie Data URL Handler. Dzięki manipulowaniu argumentem attrSubSet przy użyciu nieznanych danych wejściowych można doprowadzić do wystąpienia podatności cross site scripting. Raport na temat podatności został udostępniony pod adresem github.com. Identyfikatorem tej podatności jest CVE-2022-3975. Możliwe jest zdalne zainicjowanie ataku. Techniczne szczegóły są znane. Uważa się go za nie określono. Aktualizacja do wersji 4.5 eliminuje tę podatność. Aktualizacja jest dostępna pod adresem github.com. Poprawka jet dostępna pod adresem github.com. Sugeruje się, że najlepszym zabezpieczeniem jest aktualizacja do najnowszej wersji. Potencjalne zabezpieczenie zostało opublikowane jeszcze przed po ujawnieniu podatności.

Oś czasu

Użytkownik

1	29

Pole

exploit_price_0day	2
software_vendor	2
source_cve_nvd_summary	1
source_cve_assigned	1
vulnerability_cvss3_meta_tempscore	1

Commit Conf

90%	36
50%	11
70%	2
100%	1

Approve Conf

90%	36
80%	11
70%	2
100%	1

ID	Zaangażowany	Użytkownik	Pole	Zmiana	Uwagi	Przyjęty	Status	C
13396602	2022-12-17	VulD...	price_0day	$0-$5k	see exploit price documentation	2022-12-17	przyjęty	90
13396601	2022-12-17	VulD...	cve_nvd_summary	A vulnerability, which was classified as problematic, has been found in NukeViet CMS. Affected by this issue is the function filterAttr of the file vendor/vinades/nukeviet/Core/Request.php of the component Data URL Handler. The manipulation of the argument attrSubSet leads to cross site scripting. The attack may be launched remotely. Upgrading to version 4.5 is able to address this issue. The name of the patch is 0b3197fad950bb3383e83039a8ee4c9509b3ce02. It is recommended to upgrade the affected component. VDB-213554 is the identifier assigned to this vulnerability.	cve.mitre.org	2022-12-17	przyjęty	70
13396600	2022-12-17	VulD...	cve_assigned	1668294000 (2022-11-13)	cve.mitre.org	2022-12-17	przyjęty	70
13261361	2022-11-13	VulD...	vendor	NukeViet		2022-11-13	przyjęty	100
13261360	2022-11-13	VulD...	price_0day	$0-$5k	see exploit price documentation	2022-11-13	przyjęty	90
13261359	2022-11-13	VulD...	cvss3_meta_tempscore	3.4	see CVSS documentation	2022-11-13	przyjęty	90
13261358	2022-11-13	VulD...	cvss3_meta_basescore	3.5	see CVSS documentation	2022-11-13	przyjęty	90
13261357	2022-11-13	VulD...	cvss3_vuldb_tempscore	3.4	see CVSS documentation	2022-11-13	przyjęty	90
13261356	2022-11-13	VulD...	cvss3_vuldb_basescore	3.5	see CVSS documentation	2022-11-13	przyjęty	90
13261355	2022-11-13	VulD...	cvss2_vuldb_tempscore	3.5	see CVSS documentation	2022-11-13	przyjęty	90
13261354	2022-11-13	VulD...	cvss2_vuldb_basescore	4.0	see CVSS documentation	2022-11-13	przyjęty	90
13261353	2022-11-13	VulD...	cvss3_vuldb_e	X	derived from historical data	2022-11-13	przyjęty	80
13261352	2022-11-13	VulD...	cvss3_vuldb_pr	L	derived from historical data	2022-11-13	przyjęty	80
13261351	2022-11-13	VulD...	cvss2_vuldb_e	ND	derived from historical data	2022-11-13	przyjęty	80
13261350	2022-11-13	VulD...	cvss2_vuldb_au	S	derived from historical data	2022-11-13	przyjęty	80
13261349	2022-11-13	VulD...	cvss2_vuldb_rl	OF	derived from vuldb v3 vector	2022-11-13	przyjęty	80
13261348	2022-11-13	VulD...	cvss2_vuldb_rc	C	derived from vuldb v3 vector	2022-11-13	przyjęty	80
13261347	2022-11-13	VulD...	cvss2_vuldb_ai	N	derived from vuldb v3 vector	2022-11-13	przyjęty	80
13261346	2022-11-13	VulD...	cvss2_vuldb_ii	P	derived from vuldb v3 vector	2022-11-13	przyjęty	80
13261345	2022-11-13	VulD...	cvss2_vuldb_ci	N	derived from vuldb v3 vector	2022-11-13	przyjęty	80