Novel-Plus 友好链接 FriendLinkController.java 跨站点脚本 (CVE-2023-7171)

CVE编号

CVE-2023-7171

利用情况

暂无

补丁情况

N/A

披露时间

2023-12-30

漏洞描述

发现了Novel-Plus up to 4.2.0版本中的一个漏洞，被确定为存在问题。该漏洞影响了Friendly Link Handler组件中文件novel-admin/src/main/java/com/java2nb/novel/controller/FriendLinkController.java的未知功能。攻击者可通过操纵跨站脚本进行远程攻击。该漏洞的利用已经公开并可能被使用。修复补丁命名为d6093d8182362422370d7eaf6c53afde9ee45215。建议应用补丁以解决此问题。该漏洞的关联标识符为VDB-249307。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/201206030/novel-plus/commit/d6093d8182362422370d7eaf6c53af...
https://github.com/JTZ-a/SRC/blob/master/novel-plus/storedXSS2/en-us.md
https://vuldb.com/?ctiid.249307
https://vuldb.com/?id.249307

CVSS3评分 2.4

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 高
• 影响范围 未更改
• 用户交互 需要
• 可用性 无
• 保密性 无
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）

Exp相关链接

- avd.aliyun.com