ManageEngine ServiceDesk Plus script beszúrásos sérülékenységek

2012. november 26. 13:58

CH azonosító

CH-7999

Angol cím

ManageEngine ServiceDesk Plus Two Script Insertion Vulnerabilities

Felfedezés dátuma

2012.11.25.

Súlyosság

Alacsony

Érintett rendszerek

ManageEngine ServiceDesk Plus
ZOHO

Érintett verziók

ManageEngine ServiceDesk Plus 8.x

Összefoglaló

A ManageEngine ServiceDesk Plus két sérülékenységét jelentették, amiket kihasználva a támadók script beszúrásos (script insertion) támadásokat hajthatnak végre.

Leírás

A WorkOrder.do részére az új kérés létrehozásakor a “title” és a “description” paramétereken keresztül átadott bemeneti adatok nem megfelelően vannak megtisztítva felhasználás előtt. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.

A sérülékenységeket a 8.0 verzióban jelentették, de korábbi kiadások is érintettek lehetnek.

Legfrissebb sérülékenységek

CVE-2024-53104 – Linux Kernel sérülékenysége

CVE-2025-24228 – Apple sebezhetősége

CVE-2025-24097 – Apple sebezhetősége

CVE-2024-20440 – Cisco Smart Licensing Utility sebezhezősége

CVE-2025-1268 – Canon sebezhetősége

CVE-2025-2783 – Google Chromium Mojo Sandbox Escape sebezhetősége

CVE-2024-20439 – Cisco Smart Licensing Utility Static Credential sebezhetősége

CVE-2025-22228 – Spring Security BCryptPasswordEncoder sebezhetősége

CVE-2025-26630 – Microsoft Access RCE sebezhetősége

CVE-2025-30154 – reviewdog/action-setup GitHub Action Embedded Malicious Code sebezhetősége

Tovább a sérülékenységekhez »

ManageEngine ServiceDesk Plus script beszúrásos sérülékenységek