Plataforma
other
Componente
oxidized-web
Se ha descubierto una vulnerabilidad de Cross-Site Scripting (XSS) en Oxidized Web, específicamente en el archivo lib/oxidized/web/views/conf_search.haml. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en la aplicación, potencialmente comprometiendo la confidencialidad e integridad de los datos del usuario. La vulnerabilidad afecta a versiones desconocidas de Oxidized Web y se recomienda aplicar el parche 55ab9bdc68b03ebce9280b8746ef31d7fdedcc45 para solucionar el problema.
La explotación exitosa de esta vulnerabilidad XSS permite a un atacante ejecutar código JavaScript arbitrario en el contexto del navegador de la víctima. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso el acceso a información sensible. Un atacante podría, por ejemplo, inyectar un script que robe las credenciales de un administrador de Oxidized Web, permitiéndole tomar el control completo del sistema. La falta de autenticación robusta en la manipulación del parámetro 'to_research' facilita la inyección de código malicioso.
La vulnerabilidad CVE-2019-25088 fue publicada en 2022-12-27. No se ha reportado su inclusión en el KEV de CISA ni se conocen campañas de explotación activas. La disponibilidad de un parche sugiere que la vulnerabilidad es conocida y que los atacantes podrían estar buscando activamente sistemas vulnerables. Se recomienda una evaluación de riesgos y la aplicación del parche lo antes posible.
Organizations utilizing Oxidized Web, particularly those with custom configurations or integrations, are at risk. Systems with older, unpatched versions of Oxidized Web are especially vulnerable. Shared hosting environments where multiple users share the same Oxidized Web instance could also be affected, as an attacker could potentially compromise other users' accounts.
disclosure
Estado del Exploit
EPSS
0.32% (55% percentil)
Vector CVSS
La mitigación principal para esta vulnerabilidad es la aplicación del parche 55ab9bdc68b03ebce9280b8746ef31d7fdedcc45. Si la actualización del software no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento rigurosos de todas las entradas del usuario en el lado del servidor. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos de inyección de código. La monitorización de los registros de acceso y error del servidor también puede ayudar a detectar intentos de explotación.
Actualice la gema oxidized-web a la versión que incluye la corrección del XSS. Consulte el repositorio de oxidized-web en GitHub para obtener más detalles sobre la actualización y el parche específico (55ab9bdc68b03ebce9280b8746ef31d7fdedcc45).
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2019-25088 is a cross-site scripting (XSS) vulnerability in Oxidized Web, allowing attackers to inject malicious scripts. It affects versions before patch 55ab9bdc68b03ebce9280b8746ef31d7fdedcc45.
You are affected if you are running a version of Oxidized Web prior to the patch 55ab9bdc68b03ebce9280b8746ef31d7fdedcc45. Upgrade to the patched version immediately.
Apply the patch 55ab9bdc68b03ebce9280b8746ef31d7fdedcc45. If immediate patching isn't possible, implement input validation and output encoding.
There is no current evidence of active exploitation in the wild, but the vulnerability's nature makes it a potential target.
Refer to VDB-216870 for details on this vulnerability.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.