ManageEngine Applications Manager XSS sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Zoho ManageEngine Applications Manager 10.x

Összefoglaló

A ManageEngine Applications Manager olyan sérülékenységei váltak ismertté, amelyeket a támadók kihasználhatnak cross-site scripting (XSS) támadások kezdeményezésére.

Leírás

1. A jsp/ThresholdActionConfiguration.jsp „redirectto” paraméterének és a Search.do „query” paraméterének átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására az érintett oldal felhasználói böngésző munkamenetében.
2. A jsp/PopUp_Graph.jsp-ben az „attName” paraméternek (amikor „resids” értéke „attids”) és a showresource.do-ban a „selectedNetwork”, „network” és „group” paramétereknek (amikor „method” értéke „showResourceTypesAll”) átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására az érintett oldal felhasználói böngésző munkamenetében.

A sérülékenységeket a 10.2. verzióban igazolták, de más verziók is érintettek lehetnek.

Megoldás

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: www.vulnerability-lab.com
SECUNIA 47724