silverstripe-asset-admin में insert media remote file oembed के माध्यम से क्रॉस-साइट स्क्रिप्टिंग
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:Nकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
silverstripe-asset-admin, संपत्ति प्रबंधन के लिए एक silverstripe ऐसेट गैलरी है। "insert media" कार्यक्षमता का उपयोग करते समय, लिंक किया गया oEmbed JSON एक HTML विशेषता शामिल करता है जो embed शॉर्टकोड को प्रतिस्थापित करेगा। शॉर्टकोड को प्रतिस्थापित करने से पहले HTML को सैनिटाइज़ नहीं किया जाता है, जिससे CMS और वेबसाइट के फ्रंट-एंड दोनों पर एक स्क्रिप्ट पेलोड निष्पादित हो सकता है। यह समस्या silverstripe/framework संस्करण 5.3.8 में संबोधित की गई है और उपयोगकर्ताओं को अपग्रेड करने की सलाह दी जाती है। इस भेद्यता के लिए कोई ज्ञात वर्कअराउंड नहीं हैं।
James Nicoll · multiple · 14 अप्रैल 2025
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।