CVE-2020-28857
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia ataki typu stored cross-site scripting (XSS).
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji, wycieku danych lub przejęcia konta.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu OpenAsset DAM do najnowszej dostępnej wersji oraz wdrożenie walidacji i sanityzacji danych wejściowych po stronie serwera.
Inne podatności w OpenAsset Digital Asset Management
Zobacz wszystkie- CVE-2020-28860Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika, włączając je do zapytań SQL, co umożliwia uwierzytelnioną ślepą iniekcję SQL.
- CVE-2020-28859Średnie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia odbite ataki typu cross-site scripting (XSS).
- CVE-2020-28858Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nie weryfikuje poprawnie, czy żądanie do aplikacji zostało celowo wykonane przez użytkownika, co umożliwia ataki cross-site request forgery (CSRF) na wszystkie funkcje użytkownika.
- CVE-2020-28856Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo określa źródłowy adres IP żądania HTTP, umożliwiając atakującym jego sfałszowanie za pomocą nagłówka X-Forwarded-For, np. poprzez podanie adresu localhost 127.0.0.1, co skutecznie omija wszelkie mechanizmy kontroli dostępu oparte na adresie IP.
Oryginalny opis (angielski, źródło NVD)
OpenAsset Digital Asset Management (DAM) through 12.0.19, does not correctly sanitize user supplied input in multiple parameters and endpoints, allowing for stored cross-site scripting attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS