Umbraco Forms 组件上的存储式跨站点脚本 (CVE-2024-35239)

CVE编号

CVE-2024-35239

利用情况

暂无

补丁情况

N/A

披露时间

2024-05-29

漏洞描述

Umbraco Commerce是一个开源的dotnet web forms解决方案。在受影响的版本中，拥有编辑Forms权限的经过身份验证的用户可能会向Forms组件中注入不安全的代码。通过升级到修补版本（13.0.1、12.2.2、10.5.3、8.13.13）后配置TitleAndDescription:AllowUnsafeHtmlRendering可以缓解此问题。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://docs.umbraco.com/umbraco-forms/developer/configuration#editing-config...
https://docs.umbraco.com/umbraco-forms/release-notes
https://docs.umbraco.com/umbraco-forms/v/10.forms.latest/release-notes
https://docs.umbraco.com/umbraco-forms/v/12.forms.latest/release-notes#id-12....
https://github.com/umbraco/Umbraco.Forms.Issues/security/advisories/GHSA-p572...

CVSS3评分 2.7

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 高
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 低
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com