CVE-2020-28859
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia odbite ataki typu cross-site scripting (XSS).
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript do strony, który wykona się w przeglądarce ofiary, prowadząc do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować OpenAsset DAM do wersji nowszej niż 12.0.19, która zawiera poprawki zabezpieczeń, oraz wdrożyć walidację i sanityzację danych wejściowych po stronie serwera.
Inne podatności w OpenAsset Digital Asset Management
Zobacz wszystkie- CVE-2020-28860Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika, włączając je do zapytań SQL, co umożliwia uwierzytelnioną ślepą iniekcję SQL.
- CVE-2020-28858Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nie weryfikuje poprawnie, czy żądanie do aplikacji zostało celowo wykonane przez użytkownika, co umożliwia ataki cross-site request forgery (CSRF) na wszystkie funkcje użytkownika.
- CVE-2020-28857Średnie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo oczyszcza dane wejściowe użytkownika w wielu parametrach i punktach końcowych, co umożliwia ataki typu stored cross-site scripting (XSS).
- CVE-2020-28856Wysokie
OpenAsset Digital Asset Management (DAM) do wersji 12.0.19 nieprawidłowo określa źródłowy adres IP żądania HTTP, umożliwiając atakującym jego sfałszowanie za pomocą nagłówka X-Forwarded-For, np. poprzez podanie adresu localhost 127.0.0.1, co skutecznie omija wszelkie mechanizmy kontroli dostępu oparte na adresie IP.
Oryginalny opis (angielski, źródło NVD)
OpenAsset Digital Asset Management (DAM) through 12.0.19 does not correctly sanitize user supplied input in multiple parameters and endpoints, allowing for reflected cross-site scripting attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS