OpenCATSでスクリプトを埋め込まれる脆弱性、管理者のセッションを乗っ取られるおそれ
Summary
OpenCATSの最近使った項目パネルに、候補者・企業・連絡先・求人などの名前を通じて悪意あるスクリプトを保存できる脆弱性です。管理者がその記録を閲覧すると、セッションを盗まれ管理者権限を奪われるおそれがあります。影響は0.10.0以上0.12.0未満の版で、0.12.0で修正されています。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
OpenCATSの最近使った項目パネルに、候補者・企業・連絡先・求人などの名前を通じて悪意あるスクリプトを保存できる脆弱性です。管理者がその記録を閲覧すると、セッションを盗まれ管理者権限を奪われるおそれがあります。影響は0.10.0以上0.12.0未満の版で、0.12.0で修正されています。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| opencats | OpenCATS |
≥ 0.10.0, < 0.12.0 |
0.12.0 |
Original description The description as published by the source.
OpenCATS before 0.12.0 contains a stored cross-site scripting vulnerability that allows a low-privileged authenticated user to inject HTML/JavaScript payloads by setting a Candidate, Company, Contact, Job Order, or List name/title field, which is stored unsanitized and later rendered unescaped in the 'Recent' (MRU) navigation panel displayed on nearly every page via lib/MRU.php's getFormatted() function. Attackers can exploit this by crafting a malicious record name that executes arbitrary JavaScript in the session of any other user, including Site Administrators, who views the record, enabling session/cookie theft and privilege escalation to full administrative control.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- patch github.com
- report github.com
- web github.com