CVE-2020-13932
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
W Apache ActiveMQ Artemis w wersjach od 2.5.0 do 2.13.0 istnieje podatność na atak XSS, która może być wykorzystana poprzez specjalnie skonstruowany pakiet MQTT zawierający ładunek XSS w nazwie client-id lub tematu. Ładunek XSS jest wstrzykiwany do przeglądarki konsoli administracyjnej.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia kontroli nad sesją administratora oraz ujawnienia wrażliwych informacji. Może to zagrażać integralności i poufności danych w systemie.
Rekomendacja
Zaleca się aktualizację Apache ActiveMQ Artemis do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto monitorować i filtrować dane wejściowe w celu zapobiegania atakom XSS.
Oryginalny opis (angielski, źródło NVD)
In Apache ActiveMQ Artemis 2.5.0 to 2.13.0, a specially crafted MQTT packet which has an XSS payload as client-id or topic name can exploit this vulnerability. The XSS payload is being injected into the admin console's browser. The XSS payload is triggered in the diagram plugin; queue node and the info section.