CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 1CVE-2022-22123 – Halo CMS - Stored Cross-Site Scripting (XSS) in Article's Title
https://notcve.org/view.php?id=CVE-2022-22123
In Halo, versions v1.0.0 to v1.4.17 (latest) are vulnerable to Stored Cross-Site Scripting (XSS) in the article title. An authenticated attacker can inject arbitrary javascript code that will execute on a victim’s server. En Halo, versiones v1.0.0 a v1.4.17 (la más reciente) son vulnerables a un ataque de tipo Cross-Site Scripting (XSS) Almacenado en el título del artículo. Un atacante autenticado puede inyectar código javascript arbitrario que será ejecutado en el servidor de la víctima • https://github.com/halo-dev/halo/blob/v1.4.17/src/main/java/run/halo/app/service/impl/PostServiceImpl.java#L391 https://github.com/halo-dev/halo/issues/1557 https://www.whitesourcesoftware.com/vulnerability-database/CVE-2022-22123 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.1EPSS: 0%CPEs: 1EXPL: 1CVE-2020-19038
https://notcve.org/view.php?id=CVE-2020-19038
File Deletion vulnerability in Halo 0.4.3 via delBackup. Una vulnerabilidad de Borrado de Archivos en Halo versión 0.4.3, por medio de delBackup • https://cwe.mitre.org/data/definitions/23.html https://github.com/halo-dev/halo/issues/136 • CWE-862: Missing Authorization •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2020-19037
https://notcve.org/view.php?id=CVE-2020-19037
Incorrect Access Control vulnearbility in Halo 0.4.3, which allows a malicious user to bypass encrption to view encrpted articles via cookies. Una vulnerabilidad de Control de Acceso Incorrecto en Halo versión 0.4.3, que permite a un usuario malicioso omitir la encriptación para visualizar artículos encriptados por medio de cookies • https://github.com/halo-dev/halo/issues/135 • CWE-287: Improper Authentication •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 1CVE-2020-23079
https://notcve.org/view.php?id=CVE-2020-23079
SSRF vulnerability in Halo <=1.3.2 exists in the SMTP configuration, which can detect the server intranet. Una vulnerabilidad de tipo SSRF en Halo versiones anteriores a 1.3.2 incluyéndola, se presenta en la configuración SMTP, que puede detectar la intranet del servidor • https://github.com/halo-dev/halo/issues/806 • CWE-918: Server-Side Request Forgery (SSRF) •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 1CVE-2020-18982
https://notcve.org/view.php?id=CVE-2020-18982
Cross Sie Scripting (XSS) vulnerability in Halo 0.4.3 via CommentAuthorUrl. Una vulnerabilidad de tipo Cross Sie Scripting (XSS) en Halo versión 0.4.3, por medio del parámetro CommentAuthorUrl • https://github.com/halo-dev/halo/issues/127 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •