Cross-Site-Scripting mittels Canonical-URL

[contao.org]

Datum: 05.05.2022
CVE-ID: CVE-2022-24899
Nicht vertrauenswürdige Benutzer können Schadcode in das Canonical-Tag einschleusen, der dann auf der Webseite (Frontend) ausgeführt wird.


Weiterlesen...

[MoSaG]

Datum: 05.05.2022
CVE-ID: CVE-2022-24899
Nicht vertrauenswürdige Benutzer können Schadcode in das Canonical-Tag einschleusen, der dann auf der Webseite (Frontend) ausgeführt wird.


Weiterlesen...

kann mir bitte jemand beantworten, ob Gäste/Besucher der Webseite diesen Schadcode einfügen können, oder nur im Backend angemeldete Benutzer? (Nicht vertrauenswürdige Benutzer klingt halt nach Backend-Benutzern und nicht nach Gästen/Besuchern)
Hintergrund ist, dass ich die meisten Webseiten SELBST verwalte und dann keinen dringenden Handlungsbedarf hätte.

[Spooky]

Die Sicherheitslücke betrifft das Frontend.