CVE-2020-22987
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
Podatność na skryptowanie między witrynami (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr fileToUpload w zadaniu uploadFile.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych wrażliwych.
Rekomendacja
Zaleca się natychmiastową aktualizację MicroStrategy Web SDK do wersji 10.12 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w MicroStrategy Web SDK
Zobacz wszystkie- CVE-2020-22983Wysokie
Podatność SSRF w MicroStrategy Web SDK 11.1 i wcześniejszych umożliwia nieuwierzytelnionym atakującym zdalne wykonanie fałszerstwa żądań po stronie serwera poprzez parametr srcURL w zadaniu shortURL.
- CVE-2020-22986Średnie
Podatność na atak typu Cross-Site Scripting (XSS) w MicroStrategy Web SDK w wersji 10.11 i wcześniejszych. Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod poprzez parametr searchString w zadaniu wikiScrapper.
- CVE-2020-22985Średnie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez parametr 'key' w zadaniu getESRIExtraConfig.
- CVE-2020-22984Średnie
Podatność Cross-Site Scripting (XSS) w MicroStrategy Web SDK 10.11 i wcześniejszych wersjach umożliwia zdalnym, nieuwierzytelnionym atakującym wykonanie dowolnego kodu JavaScript poprzez parametr 'key' w zadaniu getGoogleExtraConfig.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in MicroStrategy Web SDK 10.11 and earlier, allows remote unauthenticated attackers to execute arbitrary code via the fileToUpload parameter to the uploadFile task.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS