SQLBot до версии 1.10.0, исправленный в коммите c3f40a5, содержит сохраненную уязвимость межсайтового выполнения сценариев в компоненте информационной панели SQText, которая отображает выходные данные TinyMCE через v-html без очистки. Злоумышленники, которые могут изменить содержимое текстового виджета панели мониторинга, могут внедрить произвольный код HTML и JavaScript, который выполняется для всех пользователей, просматривающих панель мониторинга.
Показать оригинальное описание (EN)
SQLBot through 1.10.0, fixed in commit c3f40a5, contains a stored cross-site scripting vulnerability in the SQText dashboard component that renders TinyMCE output via v-html without sanitization. Attackers who can modify dashboard text widget content can inject arbitrary HTML and JavaScript that executes for all users viewing the dashboard.
Характеристики атаки
Последствия
Строка CVSS v4.0