CVE-2024-22411
中已发布
跨站脚本攻击：Avo 上的操作消息
- 已发布
- 2024年1月16日
- 已更新
- 2025年6月2日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月5日
初级CVSS
6.5/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L0.7%
低 · 未来 30 天
- 百分位
- 51.7%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Avo 是一个用于为 Ruby on Rails 应用创建管理后台的框架。在 Avo 3 pre12 中，传递给 `Avo::BaseAction` 子类中 `error` 或 `succeed` 的任何文本内所含的 HTML，都会在 Action 完成时直接渲染到 UI 中出现的 toast/通知里，且不经过净化处理。恶意用户可利用此漏洞对不知情的用户触发跨站脚本攻击。该问题已在 Avo 的 3.3.0 和 2.47.0 版本中得到修复。建议用户升级。
来源
1针对Avo管理面板的CVE-2024-22411概念验证漏洞利用。演示了基于Ruby的Web应用程序中的漏洞利用。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。