OpenCATSでスクリプトを埋め込まれる脆弱性、管理者のセッションを乗っ取られるおそれ
概要
OpenCATSの最近使った項目パネルに、候補者・企業・連絡先・求人などの名前を通じて悪意あるスクリプトを保存できる脆弱性です。管理者がその記録を閲覧すると、セッションを盗まれ管理者権限を奪われるおそれがあります。影響は0.10.0以上0.12.0未満の版で、0.12.0で修正されています。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
OpenCATSの最近使った項目パネルに、候補者・企業・連絡先・求人などの名前を通じて悪意あるスクリプトを保存できる脆弱性です。管理者がその記録を閲覧すると、セッションを盗まれ管理者権限を奪われるおそれがあります。影響は0.10.0以上0.12.0未満の版で、0.12.0で修正されています。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| opencats | OpenCATS |
0.10.0 以上 0.12.0 未満 |
0.12.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
OpenCATS before 0.12.0 contains a stored cross-site scripting vulnerability that allows a low-privileged authenticated user to inject HTML/JavaScript payloads by setting a Candidate, Company, Contact, Job Order, or List name/title field, which is stored unsanitized and later rendered unescaped in the 'Recent' (MRU) navigation panel displayed on nearly every page via lib/MRU.php's getFormatted() function. Attackers can exploit this by crafting a malicious record name that executes arbitrary JavaScript in the session of any other user, including Site Administrators, who views the record, enabling session/cookie theft and privilege escalation to full administrative control.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- patch github.com
- report github.com
- web github.com