Schneider Electric Kerwin cross-site scripting sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Kerwin 6.x

Összefoglaló

A Kerwin olyan sérülékenysége vált ismertté, amelyet a támadók kihasználhatnak cross-site scripting (XSS/CSS) támadások indítására.

Leírás

1.A kw.dll részére az “evtvariablename” paraméterrel átadott bemenet nem kerül megfelelően megtisztításra, mielőtt a felhasználó részére visszaküldésre kerülne. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
2. A tartalom keresésére és megjelenítésére használt bizonyos bemenet nem kerül megfelelően megtisztításra, mielőtt a felhasználó részére visszaküldésre kerülne. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
A sérülékenységeket a 6.0.1 előtti verziókban jelentették.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

SECUNIA 49041
Egyéb referencia: www.phocean.net