Zipline от 4.3.0 до 4.5.0 содержит хранимую уязвимость межсайтового скриптинга, которая позволяет аутентифицированным пользователям с низким уровнем привилегий вводить HTML через необработанные настройки встраивания в метатеги SSR. Злоумышленники могут установить вредоносные значения embedTitle, embedDescription, embedSiteName или embedColor через PATCH /api/user для выполнения JavaScript в браузерах посетителей, открывающих свои страницы просмотра файлов.
Показать оригинальное описание (EN)
Zipline from 4.3.0 before 4.5.0 contains a stored cross-site scripting vulnerability that allows authenticated low-privilege users to inject HTML through unescaped embed settings in SSR meta tags. Attackers can set malicious embedTitle, embedDescription, embedSiteName, or embedColor values via PATCH /api/user to execute JavaScript in browsers of visitors opening their file view pages.
Характеристики атаки
Последствия
Строка CVSS v4.0