CVE-2020-22984
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript poprzez parametr 'key' w zadaniu getGoogleExtraConfig.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji użytkowników, przejęcia kont lub wycieku poufnych danych w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować MicroStrategy Web SDK do wersji nowszej niż 10.11, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w MicroStrategy Web SDK
Zobacz wszystkie- CVE-2020-22983Wysokie
Podatność SSRF w MicroStrategy Web SDK 11.1 i wcześniejszych umożliwia nieuwierzytelnionym atakującym zdalne wykonanie fałszerstwa żądań po stronie serwera poprzez parametr srcURL w zadaniu shortURL.
- CVE-2020-22987Średnie
Podatność na skryptowanie między witrynami (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr fileToUpload w zadaniu uploadFile.
- CVE-2020-22986Średnie
Podatność na atak typu Cross-Site Scripting (XSS) w MicroStrategy Web SDK w wersji 10.11 i wcześniejszych. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr searchString w zadaniu wikiScrapper.
- CVE-2020-22985Średnie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez parametr 'key' w zadaniu getESRIExtraConfig.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in MicroStrategy Web SDK 10.11 and earlier, allows remote unauthenticated attackers to execute arbitrary code via key parameter to the getGoogleExtraConfig task.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS