CVE-2020-22984
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript poprzez parametr 'key' w zadaniu getGoogleExtraConfig.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji użytkowników, przejęcia kont lub wycieku poufnych danych w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować MicroStrategy Web SDK do wersji nowszej niż 10.11, która zawiera poprawkę eliminującą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in MicroStrategy Web SDK 10.11 and earlier, allows remote unauthenticated attackers to execute arbitrary code via key parameter to the getGoogleExtraConfig task.