Podatności w platformie learningowej Claroline

cert.pse-online.pl 2 lat temu

Produkt	Claroline < 13.5.8
CVE	CVE-2022-37161
Krytyczność	7.2 /10
CVSS	AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Opis	Luka istnieje z powodu niewystarczającego oczyszczania danych dostarczonych przez użytkownika w funkcji Kalendarza w ramach przesyłania pliku SVG. Osoba atakująca zdalnie może wstrzyknąć i wykonać dowolny kod HTML i skrypt w przeglądarce użytkownika w kontekście podatnej strony internetowej.
Aktualizacja	TAK
Link	http://github.com/matthieu-hackwitharts/claroline-CVEs/blob/main/svg_xss/svg_xss.md

CVE	CVE-2022-37160
Krytyczność	6.1 /10
CVSS	AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Opis	Luka istnieje z powodu niedostatecznej weryfikacji pochodzenia żądania HTTP. Osoba atakująca zdalnie może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej strony internetowej i wykonać w imieniu ofiary arbitralne działania na zagrożonej witrynie.
Aktualizacja	TAK
Link	http://github.com/matthieu-hackwitharts/claroline-CVEs/blob/main/csrf/csrf.md

CVE	CVE-2022-37162
Krytyczność	7.2 /10
CVSS	AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Opis	Luka wynika z niewystarczającego oczyszczenia danych dostarczonych przez użytkownika w funkcji Kalendarz w polu Lokalizacja wydarzenia w kalendarzu. Osoba atakująca zdalnie może wstrzyknąć i wykonać dowolny kod HTML i skrypt w przeglądarce użytkownika w kontekście podatnej strony internetowej.
Aktualizacja	TAK
Link	http://github.com/matthieu-hackwitharts/claroline-CVEs/blob/main/calendar_xss/calendar_xss.md