HumHub Community Edition 1.18.4 содержит отраженную уязвимость межсайтового скриптинга в рабочем процессе запроса на членство в Space. Злоумышленник может разместить конфигурацию контролируемой злоумышленником кнопки в параметре строки запроса options формы space/membership/request-membership-form, вынудить аутентифицированного пользователя, не являющегося участником, отправить законную форму запроса на членство и заставить сервер вернуть JavaScript, содержащий код, контролируемый злоумышленником.
Показать оригинальное описание (EN)
HumHub Community Edition 1.18.4 contains a reflected cross-site scripting vulnerability in the Space membership-request workflow. An attacker can place attacker-controlled button configuration in the options query-string parameter of space/membership/request-membership-form, lure an authenticated non-member into submitting the legitimate membership request form, and cause the server to return JavaScript containing attacker-controlled code.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Humhub Humhub
cpe:2.3:a:humhub:humhub:1.18.4:*:windows:*:*:*:*:*
|
— | — |
|
Humhub Humhub
cpe:2.3:a:humhub:humhub:1.18.4:*:macos:*:*:*:*:*
|
— | — |
|
Humhub Humhub
cpe:2.3:a:humhub:humhub:1.18.4:*:linux:*:*:*:*:*
|
— | — |