CVE-2020-22983
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Podatność SSRF w MicroStrategy Web SDK 11.1 i wcześniejszych umożliwia nieuwierzytelnionym atakującym zdalne wykonanie fałszerstwa żądań po stronie serwera poprzez parametr srcURL w zadaniu shortURL.
Ocena ryzyka
Atakujący może wykorzystać serwer do skanowania wewnętrznej sieci, uzyskiwać dostęp do wrażliwych zasobów lub przeprowadzać ataki na inne systemy, co może prowadzić do wycieku danych lub naruszenia integralności infrastruktury.
Rekomendacja
Zaleca się natychmiastową aktualizację MicroStrategy Web SDK do wersji nowszej niż 11.1 oraz wdrożenie walidacji i filtrowania parametru srcURL w zadaniu shortURL.
Inne podatności w MicroStrategy Web SDK
Zobacz wszystkie- CVE-2020-22987Średnie
Podatność na skryptowanie między witrynami (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr fileToUpload w zadaniu uploadFile.
- CVE-2020-22986Średnie
Podatność na atak typu Cross-Site Scripting (XSS) w MicroStrategy Web SDK w wersji 10.11 i wcześniejszych. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr searchString w zadaniu wikiScrapper.
- CVE-2020-22985Średnie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez parametr 'key' w zadaniu getESRIExtraConfig.
- CVE-2020-22984Średnie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript poprzez parametr 'key' w zadaniu getGoogleExtraConfig.
Oryginalny opis (angielski, źródło NVD)
A Server-Side Request Forgery (SSRF) vulnerability exists in MicroStrategy Web SDK 11.1 and earlier, allows remote unauthenticated attackers to conduct a server-side request forgery (SSRF) attack via the srcURL parameter to the shortURL task.