CVE-2024-58322：Kentico Xperience中网页生成期间的输入净化不当（“跨站脚本”）
严重性：中等 类型：漏洞 CVE：CVE-2024-58322
Kentico Xperience中存在一个存储型跨站脚本漏洞，允许攻击者向发货选项配置中注入恶意代码。这可能通过在执行用户浏览器中的恶意脚本，导致潜在的敏感数据盗窃。
技术摘要
CVE-2024-58322是在Kentico Xperience平台中识别的一个存储型跨站脚本漏洞，具体存在于发货选项配置模块中。此漏洞源于网页生成期间对输入的净化不当，允许攻击者注入恶意JavaScript代码，这些代码被持久存储并在用户访问受影响配置页面的浏览器中执行。该缺陷使攻击者能够执行诸如窃取会话cookie、捕获敏感用户数据或以受害者身份执行未授权操作等行为。该漏洞的CVSS 4.0基础评分为5.1，表明为中等严重性，攻击向量为网络（远程利用），攻击复杂度低，无需特权，但需要用户交互。对机密性和完整性的影响有限但存在，而对可用性的影响可忽略不计。目前尚未有已知的野外利用报告，但该漏洞构成风险，尤其是在多个用户管理发货配置或客户与这些配置交互的环境中。受影响的版本未明确详述，但运行Kentico Xperience的组织在补丁发布前应假定已暴露。该漏洞凸显了在Web应用程序中进行适当的输入验证和输出编码以防止XSS攻击的重要性。
潜在影响
对于欧洲组织，CVE-2024-58322的影响可能在使用Kentico Xperience进行电子商务和内容管理的行业中很显著，特别是那些具有面向客户的发货配置界面的行业。利用该漏洞可能导致敏感客户数据被盗，包括个人信息和会话令牌，可能造成账户泄露或欺诈。这会损害客户信任，导致因数据泄露而面临GDPR下的监管处罚，并造成财务损失。中等严重性表明，虽然该漏洞不是关键性的，但仍构成切实风险，尤其是在高流量Web环境中。由于XSS的存储性质，拥有多个管理员或用户管理发货选项的组织面临更高风险。此外，攻击者可能利用该漏洞作为在网络内进一步攻击的立足点。目前没有已知的利用为主动缓解提供了窗口。
缓解建议
- 立即审查并清理与发货选项配置相关的所有输入，以确保对潜在恶意脚本进行适当的编码和净化。
- 在Kentico发布任何可用补丁或更新后立即应用。
- 实施严格的内容安全策略，以限制浏览器中未经授权脚本的执行。
- 将发货选项配置界面的访问权限限制给受信任的管理员，并强制执行强身份验证和授权控制。
- 定期进行安全审计和渗透测试，重点关注输入验证和存储型XSS漏洞。
- 教育管理员和用户关于XSS的风险，并鼓励对可疑行为或意外页面内容保持警惕。
- 监控Web应用程序日志和用户活动，以寻找利用尝试或异常脚本注入的迹象。
- 考虑部署Web应用程序防火墙，并调整规则以检测和阻止针对Kentico Xperience的XSS有效载荷。
受影响国家
德国、英国、法国、荷兰、意大利、西班牙