Katalog CVE
CVE-2020-22985
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzyko1.51%
Percentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez parametr 'key' w zadaniu getESRIExtraConfig.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przejęcia kont użytkowników lub deface'u strony.
Rekomendacja
Zaleca się natychmiastową aktualizację MicroStrategy Web SDK do wersji nowszej niż 10.11 oraz zastosowanie filtrowania wejścia dla parametru 'key'.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in MicroStrategy Web SDK 10.11 and earlier, allows remote unauthenticated attackers to execute arbitrary code via the key parameter to the getESRIExtraConfig task.