Plataforma
php
Componente
company-visitor-management-system
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en el sistema Company Visitor Management System de PHPGurukul, versiones 1.0 a 1.0. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en la aplicación, potencialmente comprometiendo la confidencialidad e integridad de los datos del usuario. La vulnerabilidad afecta a la funcionalidad del archivo search-visitor.php y ha sido divulgada públicamente. Una actualización a la versión 1.0.1 soluciona esta vulnerabilidad.
La vulnerabilidad XSS en Company Visitor Management System permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite la aplicación. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. Un atacante podría, por ejemplo, inyectar un script que robe las credenciales de inicio de sesión de los usuarios, permitiéndole acceder a sus cuentas. La divulgación pública de esta vulnerabilidad aumenta significativamente el riesgo de explotación, ya que facilita la creación y distribución de exploits.
Esta vulnerabilidad ha sido divulgada públicamente el 18 de enero de 2024. La divulgación pública, combinada con la baja severidad del CVSS, sugiere una probabilidad de explotación moderada. No se han reportado actualmente campañas de explotación activas a gran escala, pero la disponibilidad de la información sobre la vulnerabilidad facilita su explotación por parte de actores maliciosos. La vulnerabilidad ha sido registrada en la base de datos VDB con el identificador VDB-251378.
Organizations utilizing PHPGurukul Company Visitor Management System version 1.0, particularly those with sensitive visitor data or integrated access control systems, are at risk. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromise of one user's environment could potentially impact others.
• php: Examine the search-visitor.php file for unsanitized user input.
// Example: Check for potentially malicious characters
if (preg_match('/<script/i', $_GET['search_term'])) {
// Log or block the request
}• generic web: Monitor access logs for unusual requests to search-visitor.php with suspicious parameters.
grep -i '<script' /var/log/apache2/access.logdisclosure
patch
Estado del Exploit
EPSS
0.15% (35% percentil)
Vector CVSS
La mitigación principal para CVE-2024-0652 es actualizar el sistema Company Visitor Management System a la versión 1.0.1 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo search-visitor.php. Además, se puede considerar el uso de un Web Application Firewall (WAF) para filtrar el tráfico malicioso y bloquear los intentos de explotación. Verifique después de la actualización que la funcionalidad de búsqueda de visitantes no presenta comportamientos anómalos.
Actualice a una versión parcheada del sistema de gestión de visitantes de la empresa PHPGurukul. Póngase en contacto con el proveedor para obtener una versión corregida o aplique las medidas de seguridad necesarias para evitar ataques XSS en el archivo search-visitor.php.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-0652 is a cross-site scripting (XSS) vulnerability affecting PHPGurukul Company Visitor Management System versions 1.0–1.0, allowing attackers to inject malicious scripts.
You are affected if you are using PHPGurukul Company Visitor Management System version 1.0–1.0. Upgrade to version 1.0.1 to mitigate the risk.
Upgrade to version 1.0.1 of the PHPGurukul Company Visitor Management System. Input validation and output encoding can provide temporary protection.
While no active exploitation campaigns have been publicly reported, the vulnerability has been disclosed and a proof-of-concept exists, indicating potential for exploitation.
Refer to the vendor's advisory or security bulletin for PHPGurukul Company Visitor Management System for details on CVE-2024-0652.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.