Vulnerabilidad en zenml-io/zenml (CVE-2024-5062)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

30/06/2024

Última modificación:

20/08/2024

Descripción

Se identificó una vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en zenml-io/zenml versión 0.57.1. La vulnerabilidad existe debido a una neutralización inadecuada de la entrada durante la generación de la página web, específicamente dentro del parámetro de redireccionamiento de la encuesta. Esta falla permite a un atacante redirigir a los usuarios a una URL específica después de completar una encuesta, sin una validación adecuada del parámetro "redirect". En consecuencia, un atacante puede ejecutar código JavaScript arbitrario en el contexto de la sesión del navegador del usuario. Esta vulnerabilidad podría aprovecharse para robar cookies, lo que podría llevar a la apropiación de cuentas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno