CVE-2024-3090: XSS in Emergency Ambulance Hiring Portal
Plateforme
php
Composant
open-source-vulnerabilities
Corrigé dans
1.0.1
Une vulnérabilité de type Cross-Site Scripting (XSS) a été découverte dans le portail Emergency Ambulance Hiring Portal de PHPGurukul, versions 1.0 à 1.0. Cette faille permet à un attaquant d'injecter des scripts malveillants via la manipulation des arguments Ambulance Reg No/Driver Name dans la page /admin/add-ambulance.php. La mise à jour vers la version 1.0.1 corrige cette vulnérabilité.
Impact et Scénarios d'Attaque
L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'exécuter du code JavaScript arbitraire dans le contexte du navigateur de l'utilisateur. Cela peut conduire au vol de cookies de session, au détournement de session, à la modification du contenu de la page web affichée à l'utilisateur, ou à l'exécution d'actions au nom de l'utilisateur authentifié. Dans le contexte d'un portail de recrutement d'ambulances, un attaquant pourrait potentiellement compromettre les comptes d'administrateurs ou de personnel médical, accédant à des informations sensibles telles que les données des patients ou les informations de contact. La divulgation publique de cette vulnérabilité augmente le risque d'exploitation.
Contexte d'Exploitation
Cette vulnérabilité a été divulguée publiquement et est référencée par l'identifiant VDB-258683. La probabilité d'exploitation est considérée comme élevée en raison de la divulgation publique et de la simplicité potentielle de l'exploitation. Le score CVSS de 2.4 indique une faible sévérité, mais l'impact potentiel sur la confidentialité et l'intégrité des données justifie une attention particulière. Aucune campagne d'exploitation active n'a été signalée à ce jour.
Renseignement sur les Menaces
Statut de l'Exploit
EPSS
0.09% (percentile 26%)
Vecteur CVSS
Que signifient ces métriques?
- Attack Vector
- Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
- Attack Complexity
- Faible — aucune condition spéciale requise. Exploitable de manière fiable.
- Privileges Required
- Élevé — un compte administrateur ou privilégié est requis.
- User Interaction
- Requise — la victime doit ouvrir un fichier, cliquer sur un lien ou visiter une page.
- Scope
- Inchangé — impact limité au composant vulnérable.
- Confidentiality
- Aucun — aucun impact sur la confidentialité.
- Integrity
- Faible — l'attaquant peut modifier certaines données avec un impact limité.
- Availability
- Aucun — aucun impact sur la disponibilité.
Logiciel Affecté
Classification de Faiblesse (CWE)
Chronologie
- Réservé
- Publiée
- Modifiée
- EPSS mis à jour
Mitigation et Contournements
La mitigation principale consiste à mettre à jour le portail Emergency Ambulance Hiring Portal vers la version 1.0.1, qui corrige la vulnérabilité XSS. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à implémenter une validation stricte des entrées utilisateur sur la page /admin/add-ambulance.php, en s'assurant que les arguments Ambulance Reg No/Driver Name ne contiennent pas de caractères spéciaux ou de code JavaScript malveillant. L'utilisation d'un Web Application Firewall (WAF) avec des règles spécifiques pour détecter et bloquer les attaques XSS peut également aider à atténuer le risque. Vérifiez après la mise à jour que la page /admin/add-ambulance.php ne permet plus l'injection de scripts.
Comment corrigertraduction en cours…
Actualice el Emergency Ambulance Hiring Portal a una versión parcheada que solucione la vulnerabilidad XSS. Si no hay una versión disponible, filtre y escape las entradas del usuario en el archivo /admin/add-ambulance.php, especialmente los campos 'Ambulance Reg No' y 'Driver Name', para evitar la inyección de código malicioso.
Questions fréquentes
Que signifie CVE-2024-3090 — XSS dans Emergency Ambulance Hiring Portal ?
CVE-2024-3090 décrit une vulnérabilité de type Cross-Site Scripting (XSS) dans le portail Emergency Ambulance Hiring Portal de PHPGurukul, permettant l'exécution de scripts malveillants via la manipulation des arguments.
Suis-je affecté par CVE-2024-3090 dans Emergency Ambulance Hiring Portal ?
Si vous utilisez Emergency Ambulance Hiring Portal versions 1.0 à 1.0, vous êtes potentiellement affecté. La mise à jour vers la version 1.0.1 est nécessaire pour corriger la vulnérabilité.
Comment corriger CVE-2024-3090 dans Emergency Ambulance Hiring Portal ?
La correction principale est de mettre à jour Emergency Ambulance Hiring Portal vers la version 1.0.1. En attendant, une validation stricte des entrées utilisateur et l'utilisation d'un WAF peuvent atténuer le risque.
CVE-2024-3090 dans Emergency Ambulance Hiring Portal est-il activement exploité ?
Bien qu'aucune campagne d'exploitation active n'ait été signalée, la divulgation publique de la vulnérabilité augmente le risque d'exploitation. Une vigilance accrue est recommandée.
Où puis-je trouver l'avis officiel de PHPGurukul pour CVE-2024-3090 ?
Consultez le site web de PHPGurukul ou les bases de données de vulnérabilités telles que le NVD (National Vulnerability Database) pour l'avis officiel concernant CVE-2024-3090.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Essayez maintenant — sans compte
scanZone.subtitle
Glissez-déposez votre fichier de dépendances
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...