CVE-2024-41141

Description

Stored cross-site scripting vulnerability exists in EC-CUBE Web API Plugin. When there are multiple users using OAuth Management feature and one of them inputs some crafted value on the OAuth Management page, an arbitrary script may be executed on the web browser of the other user who accessed the management page.

Gravité et risque d'exploitation

CVE-2024-41141 obtient un score CVSS de 6.1/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.27 %, ce qui la place devant 18.3 % des CVE référencées.

Que faire ?

• Vérifiez si EC-CUBE Web API Plugin (versions 1.0.0 and 2.1.0 to 2.1.3 (for EC-CUBE 4.0/4.1 series), 4.2.0 to 4.2.3 (for EC-CUBE 4.2 series)) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://www.ec-cube.net/info/weakness/20240701/web_api_plugin.php
• https://jvn.jp/en/jp/JVN26225832/