Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu DirectAdmin Evolution Skin i koordynował proces ujawniania informacji.
System zarządzania zgłoszeniami w DirectAdmin Evolution Skin zawierał podatność typu XSS (Cross-Site Scripting). Umożliwiało to użytkownikom o niskich uprawnieniach przechowywanie w zgłoszeniach szkodliwego kodu JavaScript. jeżeli administrator otworzył takie zgłoszenie, skrypt mógł wykorzystać wykonywać polecenia z jego uprawnieniami.
Problem, oznaczony jako CVE-2024-10385, został rozwiązany w wersji 1.668 systemu DirectAdmin Evolution Skin.
Podziękowania
Za zgłoszenie podatności dziękujemy Dariuszowi Gońda.
