Back Sploitus

CVE-2022

Sploitus • September 28, 2026

Уязвимость хранимого межсайтового скриптинга (XSS) в поле «last_known_version», расположенном на странице «My Setting» в ERPNext 12.29.0, позволяет удалённым злоумышленникам внедрять произвольный веб-скрипт или HTML через специально подобранное имя сайта. Для этого выполняется аутентифицированный POST HTTP-запрос к '/desk#Form/User/(Authenticated User)', и скрипт внедряется в поле 'last_known_version', где мы можем просмотреть его, нажав на форму просмотра 'pdf'.

![alt text](

Эта уязвимость относится именно к полю «last_known_version», расположенному в разделе «My Settings», где нам сначала нужно сохранить настройки.

![alt text](

В поле «last_known_version» мы собираемся внедрить наш вредоносный скрипт.

![alt text](

Чтобы просмотреть внедрённый скрипт, нам нужно открыть страницу просмотра pdf, и, как показано ниже, мы успешно внедрили наш скрипт.

The full story

This article is one source in a clustered incident — the cluster page carries the summary, timeline and every other outlet covering it.

Critical CVE-2024-7029 Exploits AVTech Devices CVE-2024-7029 is a critical security vulnerability affecting AVTech devices, allowing attackers to bypass authentication and execute arbitrary commands remotely. This flaw poses a significant risk to the integrity and security of networks utilizing these devices. The proof-of-concept (PoC) code for this vulnerability was made publicly available, enabling potential exploitation without specific prerequisites. Security researchers recommend decommissioning affected AVTech devices if patches are unavailable and monitoring network traffic for unusual activity. The vulnerability was published on August 2, 2024, with the PoC released on September 2, 2024. Immediate action is advised to mitigate risks associated with this vulnerability. 2 sources 70

Extracted Entities

CVE-2022

The full story

Extracted Entities

CWE Weaknesses (1)

Platforms (1)

Vulnerabilities (1)