Sulu Media Bundle 中的反射型 XSS 漏洞 (CVE-2024-47617)

CVE编号

CVE-2024-47617

利用情况

暂无

补丁情况

N/A

披露时间

2024-10-03

漏洞描述

Sulu 是一个 PHP 内容管理系统。此漏洞允许攻击者通过 Sulu CMS 的媒体下载 URL 注入任意 HTML/JavaScript 代码。它影响了 SuluMediaBundle 组件。这是一个反射型跨站脚本（XSS）漏洞，可能会使攻击者窃取敏感信息、操纵网站内容或以受害者的身份执行操作。此漏洞已在 2.6.5 和 2.5.21 版本中得到修复。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/sulu/sulu/commit/a5a5ae555d282e88ff8559d38cfb46dea7939bda
https://github.com/sulu/sulu/commit/eeacd14b6cf55f710084788140d40ebb00314b29
https://github.com/sulu/sulu/security/advisories/GHSA-6784-9c82-vr85

CVSS3评分 6.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）

Exp相关链接

- avd.aliyun.com