luci-app-adblock-fast до версии 1.2.4-4 содержит сохраненную уязвимость межсайтового скриптинга в поле имени черного списка, которая позволяет пользователям с более низкими привилегиями вставлять активный HTML. Когда администратор просматривает страницу статуса AdBlock Fast, внедренная полезная нагрузка выполняется в браузере администратора под источником LuCI.
Показать оригинальное описание (EN)
luci-app-adblock-fast before 1.2.4-4 contains a stored cross-site scripting vulnerability in the blocklist name field that allows lower-privileged users to inject active HTML. When an administrator views the AdBlock Fast status page, the injected payload executes in the administrator's browser under the LuCI origin.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0