CVE-2024-7075
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
La fonction de recherche d'utilisateurs dans la console d'administration ne nettoie pas correctement les données saisies avant de les afficher dans le navigateur. Cette faille permet une attaque par injection de scripts (Cross-Site Scripting ou XSS), où des scripts malveillants sont injectés dans la page. Elle affecte les administrateurs ou les utilisateurs qui accèdent à la fonction de recherche de la console.
Un attaquant peut utiliser cela pour rediriger un utilisateur vers un site malveillant, modifier l'apparence de la page ou voler des informations non sensibles du navigateur. Cela nécessite que l'attaquant incite un utilisateur connecté à interagir avec un lien piégé, car l'accès au réseau seul est insuffisant. Comme les cookies sensibles sont protégés, une prise de contrôle complète du compte via le détournement de session n'est pas possible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The user search function within the management console fails to properly encode user-supplied input before rendering it in the browser. This allows an attacker to inject malicious scripts that are then executed by the user's browser in the context of the management console. Successful exploitation enables an attacker to redirect the user's browser to a malicious website, modify the web page's user interface, or extract information from the browser. However, due to the use of the httpOnly flag on sensitive session cookies, session hijacking or similar attacks are prevented.