CVE-2022-32771

CVSS 9.6 CRITICALEPSS 3.2%CWE-79

En resumen

Una falla en el sistema de alertas de pie de página de WWBN AVideo permite a los atacantes inyectar código JavaScript malicioso que se ejecuta en los navegadores de los usuarios. Un atacante puede engañar a un usuario autenticado para que haga clic en un enlace, lo que causa la ejecución de scripts dañinos y potencialmente roba sus datos o acceso a la cuenta.

Detalle técnico

Vulnerabilidad de cross-site scripting (XSS) en la funcionalidad de alertas de pie de página de WWBN AVideo 11.6 y dev master, donde el parámetro 'success' se inserta en el DOM sin sanitización adecuada. El ataque requiere ingeniería social para que un usuario autenticado envíe una solicitud HTTP especialmente elaborada; la explotación exitosa resulta en ejecución arbitraria de JavaScript en el contexto del navegador de la víctima.

Resumen generado y traducido por IA a partir de la descripción oficial.

A cross-site scripting (xss) vulnerability exists in the footer alerts functionality of WWBN AVideo 11.6 and dev master commit 3f7c0364. A specially-crafted HTTP request can lead to arbitrary Javascript execution. An attacker can get an authenticated user to send a crafted HTTP request to trigger this vulnerability.This vulnerability arrises from the "success" parameter which is inserted into the document with insufficient sanitization.

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Productos afectados

WWBN · AVideo

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/WWBN/AVideo/blob/e04b1cd7062e16564157a82bae389eedd39fa088/updatedb/updateDb.v12.0.sql https://talosintelligence.com/vulnerability_reports/TALOS-2022-1538