Plataforma
php
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en la versión 1.0 de Online Eyewear Shop. Esta falla permite a un atacante inyectar código JavaScript malicioso en la página de inventario, específicamente a través de la manipulación del parámetro 'brand' en el archivo /oews/classes/Master.php?f=save_product. La actualización a la versión 1.0.1 resuelve esta vulnerabilidad. La vulnerabilidad fue divulgada públicamente el 15 de noviembre de 2024.
Un atacante puede explotar esta vulnerabilidad para ejecutar scripts maliciosos en el navegador de un usuario que visite la página de inventario. Esto podría permitir al atacante robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos o modificar el contenido de la página web. El impacto se amplifica si la tienda online maneja información sensible de los clientes, ya que el atacante podría obtener acceso a datos personales o incluso realizar transacciones fraudulentas en nombre del usuario. La naturaleza remota de la explotación significa que cualquier usuario que visite la página vulnerable está en riesgo.
Esta vulnerabilidad ha sido divulgada públicamente, lo que aumenta la probabilidad de que sea explotada. Aunque el CVSS score es LOW (3.5), la facilidad de explotación y el potencial impacto en la confidencialidad de los usuarios hacen que sea importante abordar esta vulnerabilidad lo antes posible. No se ha reportado su inclusión en el KEV de CISA ni se han identificado campañas de explotación activas a la fecha.
Small to medium-sized businesses utilizing Online Eyewear Shop for their online retail operations are particularly at risk. Shared hosting environments where multiple websites share the same server infrastructure are also vulnerable, as a compromise of one website could potentially lead to the compromise of others. Users relying on legacy configurations or outdated security practices are also more susceptible.
• php / web:
curl -s -X POST -d "brand=<script>alert('XSS')</script>" http://<target>/oews/classes/Master.php?f=save_product | grep "<script>alert('XSS')</script>"• generic web:
curl -I http://<target>/oews/classes/Master.php?f=save_product&brand=<script>alert('XSS')</script>• generic web: Examine access logs for requests to /oews/classes/Master.php?f=save_product containing suspicious characters or JavaScript code in the 'brand' parameter.
• generic web: Check response headers for signs of XSS, such as Content-Security-Policy (CSP) headers that are not properly configured.
disclosure
patch
Estado del Exploit
EPSS
0.20% (42% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar Online Eyewear Shop a la versión 1.0.1, que corrige la vulnerabilidad de XSS. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /oews/classes/Master.php. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan código JavaScript sospechoso en el parámetro 'brand'. Verifique después de la actualización que la inyección de scripts no sea posible manipulando el parámetro 'brand'.
Actualizar a una versión parcheada del software. Si no hay una versión disponible, sanitizar las entradas del usuario, especialmente el parámetro 'brand', para evitar la ejecución de código JavaScript malicioso. Implementar validación y codificación de salida para prevenir ataques XSS.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-11247 is a cross-site scripting (XSS) vulnerability affecting Online Eyewear Shop versions 1.0, allowing attackers to inject malicious scripts via the 'brand' parameter in the /oews/classes/Master.php endpoint.
You are affected if you are running Online Eyewear Shop version 1.0. Upgrade to version 1.0.1 to resolve the vulnerability.
The recommended fix is to upgrade to version 1.0.1. As a temporary workaround, implement input validation and output encoding on the affected endpoint.
While there is no confirmed active exploitation, the vulnerability has been publicly disclosed, increasing the risk of exploitation.
Refer to the SourceCodester website or their official communication channels for the advisory related to CVE-2024-11247.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.