CVE-2020-22985
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez parametr 'key' w zadaniu getESRIExtraConfig.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przejęcia kont użytkowników lub deface'u strony.
Rekomendacja
Zaleca się natychmiastową aktualizację MicroStrategy Web SDK do wersji nowszej niż 10.11 oraz zastosowanie filtrowania wejścia dla parametru 'key'.
Inne podatności w MicroStrategy Web SDK
Zobacz wszystkie- CVE-2020-22983Wysokie
Podatność SSRF w MicroStrategy Web SDK 11.1 i wcześniejszych umożliwia nieuwierzytelnionym atakującym zdalne wykonanie fałszerstwa żądań po stronie serwera poprzez parametr srcURL w zadaniu shortURL.
- CVE-2020-22987Średnie
Podatność na skryptowanie między witrynami (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr fileToUpload w zadaniu uploadFile.
- CVE-2020-22986Średnie
Podatność na atak typu Cross-Site Scripting (XSS) w MicroStrategy Web SDK w wersji 10.11 i wcześniejszych. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr searchString w zadaniu wikiScrapper.
- CVE-2020-22984Średnie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript poprzez parametr 'key' w zadaniu getGoogleExtraConfig.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in MicroStrategy Web SDK 10.11 and earlier, allows remote unauthenticated attackers to execute arbitrary code via the key parameter to the getESRIExtraConfig task.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS