Plataforma
php
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en la aplicación Farmacia versión 1.0. Esta falla permite a un atacante inyectar scripts maliciosos en páginas web vistas por otros usuarios, comprometiendo potencialmente la confidencialidad y la integridad de la información. La vulnerabilidad afecta al archivo usuario.php y se ha revelado públicamente, lo que aumenta el riesgo de explotación. La versión 1.0.1 corrige esta vulnerabilidad.
La vulnerabilidad XSS en Farmacia 1.0 permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite una página web comprometida. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso el acceso a información confidencial almacenada en el navegador. Un atacante podría, por ejemplo, crear un enlace malicioso que, al ser clicado por un usuario, ejecute un script que robe sus credenciales de acceso a la aplicación Farmacia. La falta de validación adecuada de la entrada del usuario en el archivo usuario.php es la causa raíz de esta vulnerabilidad.
Esta vulnerabilidad ha sido divulgada públicamente, lo que significa que los atacantes pueden tener acceso a información sobre cómo explotarla. Aunque la CVSS score es LOW (3.5), la facilidad de explotación y el potencial impacto hacen que sea importante abordar esta vulnerabilidad de manera oportuna. No se han reportado campañas de explotación activas en este momento, pero la disponibilidad pública de la información aumenta el riesgo de que se produzcan en el futuro. La fecha de publicación de la vulnerabilidad es 2024-11-25.
Organizations and individuals using Farmacia version 1.0 are at risk. This includes those deploying Farmacia on shared hosting environments, as vulnerabilities in the application can potentially impact other websites hosted on the same server. Users who have not implemented robust input validation practices are particularly vulnerable.
• php / web:
grep -r "usuario.php" /var/www/html/
grep -r "name" /var/www/html/usuario.php• generic web:
curl -I http://your-farmacia-site.com/usuario.php?name=<script>alert('XSS')</script>disclosure
Estado del Exploit
EPSS
0.10% (27% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-11660 es actualizar la aplicación Farmacia a la versión 1.0.1, que incluye la corrección para esta vulnerabilidad XSS. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación estricta de todas las entradas de usuario en el archivo usuario.php. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos de inyección de scripts. Monitorear los logs de la aplicación en busca de intentos de inyección de scripts también puede ayudar a detectar y prevenir ataques.
Actualice el software Farmacia a una versión parcheada que solucione la vulnerabilidad XSS en el archivo usuario.php. Verifique las notas de la versión o el registro de cambios para identificar la versión corregida. Si no hay una versión parcheada disponible, considere implementar medidas de mitigación como la desinfección de entradas y la codificación de salidas para prevenir ataques XSS.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-11660 is a cross-site scripting (XSS) vulnerability in Farmacia version 1.0, allowing attackers to inject malicious scripts via the 'name' parameter in 'usuario.php.'
Yes, if you are using Farmacia version 1.0, you are affected by this vulnerability. Upgrade to version 1.0.1 to resolve the issue.
Upgrade Farmacia to version 1.0.1. As a temporary workaround, implement input validation and sanitization on the 'name' parameter in 'usuario.php.'
While no active campaigns have been confirmed, the vulnerability has been publicly disclosed, increasing the risk of exploitation.
Refer to the Farmacia project's official website or repository for the latest security advisories and updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.