首頁
» GitHub 公告
» GHSA-7cmp-cgg8-4c82
描述
Impact
When using the "insert media" functionality, the linked oEmbed JSON includes an HTML attribute which will replace the embed shortcode. The HTML is not sanitized before replacing the shortcode, allowing a script payload to be executed on both the CMS and the front-end of the website.
References
https://www.silverstripe.org/download/security-releases/cve-2024-47605
Reported by
James Nicoll from Fujitsu Cyber Security Services
基本資訊
類型
reviewed
嚴重度
medium GitHub 上的公告
開啟公告 ↗ 儲存庫公告
開啟儲存庫公告 ↗ 原始碼
瀏覽原始碼 ↗ 公開（公告）
2025-01-14 22:18:52 UTC
更新時間
2025-01-23 17:11:56 UTC
GitHub 審核
2025-01-14 22:18:52 UTC
NVD 公開
2025-01-14
EPSS Score
Score
Percentile
3.98%
88.16%
CVSS Scores
Base score
Version
Severity
Vector
5.4
3.1
—
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
點擊展開
攻擊向量 (AV:N)
可經網際網路或企業內可路由網段從遠端觸達，攻擊者不必在裝置旁邊。
攻擊複雜度 (AC:L)
前置條件清楚，成功路徑穩定，不必仰賴罕見競態或極端環境。
權限需求 (PR:N)
不必事先登入或提權，匿名工作階段也可能成為跳板。
使用者互動 (UI:R)
需要一次明確的使用者動作（安裝、改設定、開啟惡意文件等）才會落地。
作用域 (S:U)
破壞局限在脆弱元件原本的安全權限與信任域之內。
機密性影響 (C:L)
可能外洩部分欄位或樣本資料，但難以形成「整批拖走」的局面。
完整性影響 (I:L)
能改局部紀錄或設定，但尚不致讓整站／整庫資料整體不可信。
可用性影響 (A:N)
不至於造成業務意義上的長時間停擺或災難性效能崩塌。
CWEs
CWE id
Name
CWE-79
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
Affected packages (1)
Vulnerable version ranges and first patched releases as published by GitHub.
Ecosystem
Package
Vulnerable range
First patched
Vulnerable functions
composer
silverstripe/framework < 5.3.8
5.3.8
—
cvelogic
Threat Intelligence