CVE-2015-20130
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Netsweeper przed wersją 4.0.11 oraz 4.1.0 przed 4.1.5 zawiera podatność odbitego cross-site scripting w webadmin/reporter/view_server_log.php, która pozwala zdalnym atakującym wykonać dowolny JavaScript poprzez wstrzyknięcie złośliwego kodu w parametr log request, odzwierciedlany w odpowiedzi HTML bez kodowania wyjścia. Atakujący może spreparować złośliwy URL i nakłonić użytkownika do jego otwarcia, co skutkuje wykonaniem dowolnego JavaScriptu w sesji przeglądarki ofiary w interfejsie administracyjnym Netsweeper. Dowody wykorzystania po raz pierwszy zaobserwowano przez Shadowserver Foundation 2023-10-19.
Ocena ryzyka
Administrator lub operator otwierający spreparowany link może paść ofiarą wykonania złośliwego skryptu w kontekście interfejsu administracyjnego, co może prowadzić do przejęcia sesji i nieautoryzowanych zmian konfiguracji.
Rekomendacja
Zaktualizuj Netsweeper do wersji 4.0.11 lub 4.1.5 (lub nowszej) i poinformuj administratorów o ryzyku otwierania niezaufanych linków do interfejsu webadmin.
Inne podatności w Netsweeper
Zobacz wszystkie- CVE-2014-9619Wysokie
W podatności CVE-2014-9619 występuje nieograniczony upload plików w Netsweeper, co pozwala zdalnym użytkownikom z uprawnieniami administratora na wykonanie dowolnego kodu PHP poprzez przesłanie pliku z podwójnym rozszerzeniem.
- CVE-2014-9616Wysokie
Netsweeper w wersjach przed 3.1.10, 4.0.x przed 4.0.9 oraz 4.1.x przed 4.1.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez wysłanie żądania, które przekierowuje na stronę odmowy.
- CVE-2014-9605Wysokie
WebUpgrade w Netsweeper przed wersją 3.1.10, 4.0.x przed 4.0.9 oraz 4.1.x przed 4.1.2 pozwala zdalnym atakującym na ominięcie uwierzytelnienia i stworzenie kopii zapasowej systemu, ponowne uruchomienie serwera lub zatrzymanie filtrów na serwerze poprzez użycie znaku ' (pojedynczy apostrof) w parametrach logowania i hasła.
- CVE-2014-9611Krytyczne
Netsweeper w wersjach przed 4.0.5 umożliwia zdalnym atakującym ominięcie uwierzytelniania oraz tworzenie dowolnych kont i polityk poprzez wysłanie żądania do webadmin/nslam/index.php.
Oryginalny opis (angielski, źródło NVD)
Netsweeper before 4.0.11 and 4.1.0 before 4.1.5 contains a reflected cross-site scripting vulnerability in webadmin/reporter/view_server_log.php that allows remote attackers to execute arbitrary JavaScript by injecting malicious code through the log request parameter, which is reflected into the HTML response without output encoding. Attackers can craft a malicious URL and induce a user to request it, resulting in arbitrary JavaScript execution within the victim's browser session against the Netsweeper web administration interface. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS