Mittel

LGSL has a reflected XSS at /lgsl_files/lgsl_list.php

Veröffentlicht: 30.12.2024
Aktualisiert: 11.10.2026 10:22

Reflected XSS at /lgsl_files/lgsl_list.php

Description:

Vulnerability: A reflected XSS vulnerability exists in the Referer HTTP header of LGSL v6.2.1. The vulnerability allows attackers to inject arbitrary JavaScript code, which is reflected in the HTML response without proper sanitization. When crafted malicious input is provided in the Referer header, it is echoed back into an HTML attribute in the application’s response.

The vulnerability is present at Line 20-24

php

  $uri = $_SERVER['REQUEST_URI'];

  if ($lgsl_config['preloader']) {
    $uri = $_SERVER['HTTP_REFERER'];
  }

Proof of Concept:

Capture a request to the path /lgsl_files/lgsl_list.php.
Inject the following payload into the Referer header: test'><script>alert(1)</script><.
Send the request.
The XSS payload is triggered when reloading.

Impact:

Execution of Malicious Code

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	tltneon/lgsl	<= 6.2.1	keine Korrektur

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
Schwäche (CWE): CWE-79
Plattform: Composer
Paket: tltneon/lgsl
Veröffentlicht: 30.12.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-ggwq-xc72-33r3 - CC BY 4.0

Schwachstellenhistorie: tltneon/lgsl

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 12.2024 12.2024
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 1

Veröffentlichungen pro Jahr

2024: 2
2025: 0
2026: 0

30.12.2024

LGSL has a reflected XSS at /lgsl_files/lgsl_list.php dieser Eintrag

Mittel CVE-2024-56517 <= 6.2.1 keine Korrektur
26.12.2024

lgsl Stored Cross-Site Scripting vulnerability

Hoch CVE-2024-56361 < 7.0.0 7.0.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden