CVE-2021-45422
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 87 - wyżej niż 87% wszystkich znanych CVE
Streszczenie
Reprise License Manager 14.2 zawiera podatność na odbity atak XSS w parametrze 'count' endpointu /goform/activate_process. Atak nie wymaga uwierzytelnienia.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt JavaScript, który wykona się w przeglądarce ofiary, prowadząc do kradzieży sesji, przekierowania na złośliwe strony lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować Reprise License Manager do wersji po 14.2 lub zastosować łatkę zabezpieczającą. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do panelu administracyjnego i filtrować parametry wejściowe.
Oryginalny opis (angielski, źródło NVD)
Reprise License Manager 14.2 is affected by a reflected cross-site scripting vulnerability in the /goform/activate_process "count" parameter via GET. No authentication is required.