Plataforma
php
Componente
rrj-nueva-ecija-engineer-online-portal
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en el portal RRJ Nueva Ecija Engineer Online Portal, específicamente en la versión 1.0. Esta vulnerabilidad permite a un atacante inyectar código malicioso en la página web, potencialmente comprometiendo la información del usuario o redirigiéndolo a sitios no deseados. La vulnerabilidad afecta a la gestión de quizzes y ha sido divulgada públicamente, siendo corregida en la versión 1.0.1.
La vulnerabilidad XSS en RRJ Nueva Ecija Engineer Online Portal permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite la página web vulnerable. Esto podría resultar en el robo de cookies de sesión, la redirección del usuario a sitios maliciosos, o la modificación del contenido de la página web. Un atacante podría explotar esta vulnerabilidad para obtener acceso no autorizado a cuentas de usuario, robar información confidencial, o realizar acciones en nombre del usuario. La inyección de código se realiza a través de la manipulación de los campos Título/Descripción del Quiz, lo que facilita la explotación.
Esta vulnerabilidad ha sido divulgada públicamente el 2 de enero de 2024. Aunque la severidad CVSS es baja (3.5), la facilidad de explotación y el potencial impacto en la confidencialidad de los usuarios la convierten en una preocupación. No se han reportado campañas de explotación activas a la fecha, pero la disponibilidad de la información sobre la vulnerabilidad aumenta el riesgo de que sea explotada en el futuro. No se ha añadido a KEV a la fecha.
Organizations using the RRJ Nueva Ecija Engineer Online Portal version 1.0 are at risk. This includes engineering firms, construction companies, or any entity utilizing this specific portal for project management or communication. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as a successful attack could potentially impact other users on the same server.
• generic web: Use curl to test the add_quiz.php endpoint with a payload like <script>alert(x)</script> in the Quiz Title/Quiz Description parameters. Check the response for the alert box.
curl -d "Quiz Title=<script>alert(x)</script>" http://your-portal-url/add_quiz.php• generic web: Examine access and error logs for suspicious requests containing <script> tags or other XSS payloads targeting add_quiz.php.
• generic web: Inspect the HTML source code of pages displaying quiz information for any unsanitized user input from the Quiz Title/Quiz Description fields.
disclosure
patch
Estado del Exploit
EPSS
0.23% (46% percentil)
Vector CVSS
La mitigación principal para CVE-2024-0190 es actualizar el portal RRJ Nueva Ecija Engineer Online Portal a la versión 1.0.1, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el lado del servidor para prevenir la inyección de código malicioso. Además, se puede considerar la implementación de una Web Application Firewall (WAF) para filtrar el tráfico malicioso y bloquear los intentos de explotación. Después de la actualización, confirmar la mitigación revisando los logs del servidor en busca de intentos de inyección de código.
Actualizar el RRJ Nueva Ecija Engineer Online Portal a una versión parcheada o implementar medidas de saneamiento de entrada en el archivo add_quiz.php para evitar la ejecución de código JavaScript malicioso. Escapar o eliminar las etiquetas HTML en los campos 'Quiz Title' y 'Quiz Description' antes de mostrarlos en la página.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-0190 is a cross-site scripting (XSS) vulnerability in the RRJ Nueva Ecija Engineer Online Portal versions 1.0–1.0, allowing attackers to inject malicious scripts.
You are affected if you are using RRJ Nueva Ecija Engineer Online Portal versions 1.0–1.0. Upgrade to 1.0.1 to mitigate the risk.
Upgrade to version 1.0.1 or later. Implement input validation and output encoding as a temporary workaround.
While publicly disclosed, there is no confirmed evidence of active exploitation at this time. Monitoring is recommended.
Refer to the vendor's official website or security announcements for the latest advisory regarding CVE-2024-0190.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.