CVE-2024-47605
silverstripe-asset-admin में insert media remote file oembed के माध्यम से क्रॉस-साइट स्क्रिप्टिंग
- प्रकाशित
- 14 जन॰ 2025
- अद्यतन
- 15 जन॰ 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 14 अप्रैल 2025
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:Nकम · अगले 30 दिन
- प्रतिशत
- 66.3%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
silverstripe-asset-admin, संपत्ति प्रबंधन के लिए एक silverstripe ऐसेट गैलरी है। "insert media" कार्यक्षमता का उपयोग करते समय, लिंक किया गया oEmbed JSON एक HTML विशेषता शामिल करता है जो embed शॉर्टकोड को प्रतिस्थापित करेगा। शॉर्टकोड को प्रतिस्थापित करने से पहले HTML को सैनिटाइज़ नहीं किया जाता है, जिससे CMS और वेबसाइट के फ्रंट-एंड दोनों पर एक स्क्रिप्ट पेलोड निष्पादित हो सकता है। यह समस्या silverstripe/framework संस्करण 5.3.8 में संबोधित की गई है और उपयोगकर्ताओं को अपग्रेड करने की सलाह दी जाती है। इस भेद्यता के लिए कोई ज्ञात वर्कअराउंड नहीं हैं।
स्रोत
James Nicoll · multiple · 14 अप्रैल 2025
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।