Plataforma
php
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en el software Farmacia versión 1.0. Esta falla permite a un atacante inyectar scripts maliciosos en la aplicación, potencialmente comprometiendo la confidencialidad e integridad de los datos del usuario. La vulnerabilidad afecta al archivo /fornecedores.php y ha sido divulgada públicamente. Una actualización a la versión 1.0.1 soluciona este problema.
La vulnerabilidad XSS en Farmacia 1.0 permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite la página vulnerable /fornecedores.php. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. Un atacante podría, por ejemplo, robar credenciales de acceso o realizar acciones en nombre del usuario autenticado. La divulgación pública de esta vulnerabilidad aumenta significativamente el riesgo de explotación.
Esta vulnerabilidad ha sido divulgada públicamente, lo que aumenta la probabilidad de explotación. Aunque la puntuación CVSS es baja (3.5), la facilidad de explotación y el potencial impacto en la confidencialidad de los datos hacen que sea importante abordar este problema. No se han reportado campañas de explotación activas conocidas al momento de la publicación, pero la disponibilidad de la divulgación pública podría cambiar esta situación rápidamente.
Organizations and individuals using Farmacia version 1.0 are at risk. This includes those hosting the application on shared hosting environments, as they may be vulnerable without direct control over the application's codebase. Users who interact with the /fornecedores.php page are particularly at risk.
• generic web:
curl -I https://example.com/fornecedores.php?param=<script>alert(1)</script>• generic web:
grep -i 'script' /var/log/apache2/access.logdisclosure
Estado del Exploit
EPSS
0.20% (42% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar a la versión 1.0.1 de Farmacia, que incluye la corrección. Si la actualización no es inmediatamente posible, considere implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /fornecedores.php. Además, se recomienda implementar una política de seguridad de contenido (CSP) para restringir las fuentes de scripts que pueden ejecutarse en la página web. Revise los logs del servidor en busca de actividad sospechosa relacionada con el archivo /fornecedores.php.
Actualice la aplicación Farmacia a una versión parcheada o posterior que solucione la vulnerabilidad XSS. Si no hay una actualización disponible, revise y filtre las entradas del usuario en el archivo /fornecedores.php para evitar la inyección de código malicioso.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-11259 is a cross-site scripting (XSS) vulnerability in Farmacia version 1.0 affecting the /fornecedores.php file, allowing attackers to inject malicious scripts.
Yes, if you are using Farmacia version 1.0, you are affected by this vulnerability. Upgrade to version 1.0.1 to mitigate the risk.
Upgrade Farmacia to version 1.0.1 or later. As a temporary measure, implement input validation and output encoding on the /fornecedores.php page.
While no active exploitation campaigns have been publicly reported, the vulnerability is publicly disclosed and a proof-of-concept exists, increasing the risk of exploitation.
Refer to the Farmacia project's official channels for the advisory, which should be available on their website or repository.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.