CVE-2021-45422
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
Reprise License Manager 14.2 zawiera podatność na odbity atak XSS w parametrze 'count' endpointu /goform/activate_process. Atak nie wymaga uwierzytelnienia.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt JavaScript, który wykona się w przeglądarce ofiary, prowadząc do kradzieży sesji, przekierowania na złośliwe strony lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować Reprise License Manager do wersji po 14.2 lub zastosować łatkę zabezpieczającą. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do panelu administracyjnego i filtrować parametry wejściowe.
Inne podatności w Reprise License Manager
Zobacz wszystkie- CVE-2021-37500Wysokie
Podatność na przeglądanie katalogów w interfejsie webowym Reprise License Manager (RLM) przed wersją 14.2BL4 w funkcji diagnostycznej umożliwia użytkownikom RLM z wystarczającymi uprawnieniami nadpisanie dowolnego pliku na serwerze.
- CVE-2021-37499Średnie
Podatność CRLF w interfejsie webowym Reprise License Manager (RLM) do wersji 14.2BL4 w parametrze hasła funkcji View License Result umożliwia zdalnym atakującym wstrzykiwanie dowolnych nagłówków HTTP.
- CVE-2021-37498Średnie
W interfejsie webowym Reprise License Manager (RLM) do wersji 14.2BL4 wykryto podatność SSRF. Umożliwia ona zdalnemu atakującemu wysyłanie żądań do serwerów wewnętrznych oraz skanowanie portów za pomocą parametru actserver w funkcji aktywacji licencji.
Oryginalny opis (angielski, źródło NVD)
Reprise License Manager 14.2 is affected by a reflected cross-site scripting vulnerability in the /goform/activate_process "count" parameter via GET. No authentication is required.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS