CVE-2021-46355
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
OCS Inventory 2.9.1 zawiera podatność na Stored Cross-Site Scripting (XSS). Atakujący może wykorzystać tę lukę, manipulując nazwą urządzenia (np. drukarki) na komputerze ofiary, zastępując ją złośliwym kodem.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce administratora lub innego użytkownika przeglądającego dane inwentaryzacyjne, co może prowadzić do kradzieży sesji, wycieku danych lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację OCS Inventory do wersji nowszej niż 2.9.1, która zawiera poprawkę eliminującą podatność XSS. Należy również rozważyć filtrowanie i sanityzację danych wejściowych dla nazw urządzeń.
Oryginalny opis (angielski, źródło NVD)
OCS Inventory 2.9.1 is affected by Cross Site Scripting (XSS). To exploit the vulnerability, the attacker needs to manipulate the name of some device on your computer, such as a printer, replacing the device name with some malicious code that allows the execution of Stored Cross-site Scripting (XSS).