CVE-2023-38501
中已发布
copyparty 的 k304 参数存在反射型跨站脚本(XSS)漏洞
- 已发布
- 2023年7月25日
- 已更新
- 2025年2月13日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2023年7月28日
初级CVSS
6.3/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L9.2%
低 · 未来 30 天
- 百分位
- 95.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
copyparty 是一款文件服务器软件。在 1.8.7 版本之前，该应用包含一个通过 URL 参数 `?k304=...` 和 `?setck=...` 触发的反射型跨站脚本漏洞。该漏洞最坏的情况下，攻击者可以利用点击恶意链接的用户的账户，在服务器上移动或删除现有文件，或上传新文件。建议用户更改自己 copyparty 账户的密码，除非已经检查过日志并确认没有攻击痕迹。1.8.7 版本包含针对该问题的补丁。
来源
1Vartamtezidis Theodoros · python · 2023年7月28日
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。