langhsu Mblog Blog System Search Bar search cross site scripting
अनुवाद हो रहा है…प्लेटफ़ॉर्म
php
घटक
vulnerability-research
में ठीक किया गया
3.5.1
CVE-2024-13199 is a cross-site scripting (XSS) vulnerability affecting Mblog Blog System versions 3.5.0 through 3.5.0. This vulnerability allows an attacker to inject malicious scripts into the application, potentially leading to session hijacking or defacement. The vulnerability resides in the /search endpoint’s 'kw' parameter. A patch is available in version 3.5.1.
प्रभाव और हमले की स्थितियाँअनुवाद हो रहा है…
An attacker can exploit this XSS vulnerability by crafting a malicious URL containing a specially crafted 'kw' parameter. When a user visits this URL, the injected script will execute in their browser context, allowing the attacker to steal cookies, redirect the user to a phishing site, or modify the content of the page. The impact can range from minor annoyance to complete account compromise, depending on the attacker's skill and the privileges of the affected user. Given the public disclosure of this vulnerability, it is likely that automated scanners are already attempting to exploit it.
शोषण संदर्भअनुवाद हो रहा है…
This vulnerability was publicly disclosed on 2025-01-09. The vendor was notified but did not respond. The vulnerability's LOW CVSS score suggests a relatively low level of technical difficulty to exploit, which increases the likelihood of automated exploitation attempts. No known KEV listing or active exploitation campaigns have been reported as of this date.
कौन जोखिम में हैअनुवाद हो रहा है…
Websites and applications using Mblog Blog System version 3.5.0 are at risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit the vulnerability through other tenants on the same server. Users who frequently access the /search endpoint are also at higher risk.
पहचान के चरणअनुवाद हो रहा है…
• php / web:
curl -s -X GET 'http://your-mblog-system/search?kw=<script>alert(1)</script>' | grep -i alert• generic web:
curl -s -X GET 'http://your-mblog-system/search?kw=<script>alert(1)</script>' | grep -i alertहमले की समयरेखा
- Disclosure
disclosure
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.19% (40% शतमक)
CISA SSVC
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- निम्न — कोई भी वैध उपयोगकर्ता खाता पर्याप्त है।
- User Interaction
- आवश्यक — पीड़ित को फ़ाइल खोलनी, लिंक पर क्लिक करना या पेज पर जाना होगा।
- Scope
- अपरिवर्तित — प्रभाव केवल कमज़ोर घटक तक सीमित।
- Confidentiality
- कोई नहीं — गोपनीयता पर कोई प्रभाव नहीं।
- Integrity
- निम्न — हमलावर सीमित दायरे में कुछ डेटा बदल सकता है।
- Availability
- कोई नहीं — उपलब्धता पर कोई प्रभाव नहीं।
प्रभावित सॉफ्टवेयर
कमजोरी वर्गीकरण (CWE)
समयरेखा
- आरक्षित
- प्रकाशित
- EPSS अद्यतन
शमन और वर्कअराउंडअनुवाद हो रहा है…
The primary mitigation for CVE-2024-13199 is to upgrade Mblog Blog System to version 3.5.1 or later, which contains the fix. If upgrading is not immediately possible, consider implementing input validation and output encoding on the /search endpoint to sanitize the 'kw' parameter. Web application firewalls (WAFs) can also be configured to block requests containing suspicious characters or patterns in the 'kw' parameter. After upgrading, verify the fix by attempting to inject a simple XSS payload into the /search endpoint and confirming that it is properly sanitized.
कैसे ठीक करेंअनुवाद हो रहा है…
Actualizar a una versión parcheada o aplicar una solución para evitar la ejecución de scripts arbitrarios en el contexto del usuario. Validar y escapar correctamente las entradas del usuario en la barra de búsqueda para prevenir ataques XSS. Si no hay actualizaciones disponibles, considerar deshabilitar la funcionalidad de búsqueda o implementar medidas de seguridad adicionales en el servidor web.
CVE सुरक्षा न्यूज़लेटर
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
अक्सर पूछे जाने वाले सवालअनुवाद हो रहा है…
What is CVE-2024-13199 — XSS in Mblog Blog System 3.5.0?
CVE-2024-13199 is a cross-site scripting (XSS) vulnerability in Mblog Blog System versions 3.5.0–3.5.0, allowing attackers to inject malicious scripts via the /search endpoint's 'kw' parameter.
Am I affected by CVE-2024-13199 in Mblog Blog System 3.5.0?
If you are running Mblog Blog System version 3.5.0, you are potentially affected by this vulnerability. Upgrade to 3.5.1 to mitigate the risk.
How do I fix CVE-2024-13199 in Mblog Blog System 3.5.0?
Upgrade Mblog Blog System to version 3.5.1 or later. As a temporary workaround, implement input validation and output encoding on the /search endpoint.
Is CVE-2024-13199 being actively exploited?
While no active exploitation campaigns have been confirmed, the vulnerability has been publicly disclosed, increasing the likelihood of exploitation attempts.
Where can I find the official Mblog Blog System advisory for CVE-2024-13199?
Check the official Mblog Blog System website or security mailing list for the advisory related to CVE-2024-13199.
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।