Firefly III vulnerable to stored XSS
Firefly III before 4.7.17.1 is vulnerable to stored XSS due to lack of filtration of user-supplied data in a budget name. The JavaScript code is contained in a transaction, and is executed on the tags/show/$tag_number$ tag summary page. NOTE: It is asserted that an attacker must have the same access rights as the user in order to be able to execute the vulnerability
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | grumpydictator/firefly-iii | < 4.7.17.1 | 4.7.17.1 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2019-13644
- https://github.com/firefly-iii/firefly-iii/issues/2335
- https://github.com/firefly-iii/firefly-iii/commit/def307010c388c4e92d7066671ad62e477cc087a
- https://github.com/firefly-iii/firefly-iii
- https://github.com/firefly-iii/firefly-iii/compare/76aa8ac...45b8c36
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N- Debilidad (CWE)
CWE-79- Plataforma
- Composer
- Paquete
grumpydictator/firefly-iii- Publicada
- 24.05.2022
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-9xmx-rj7j-fv9q - CC BY 4.0
Historial de vulnerabilidades: grumpydictator/firefly-iii
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 26
- Primera → última
- 08.2021 06.2026
- Sin corrección
- 3
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 1
- Media 22
- Baja 2
Divulgaciones por año
- 2021: 12
- 2022: 5
- 2023: 3
- 2024: 3
- 2025: 0
- 2026: 3
-
Firefly III vulnerable to stored XSS esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.