CVE-2023-33276
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Interfejs webowy Gira KNX/IP-Router 3.1.3683.0 i 3.3.8.0 jest podatny na refleksyjne ataki XSS. Odpowiada kodem statusu '404 - Nie znaleziono' dla nieistniejących ścieżek, ale wartość ścieżki jest odzwierciedlana w odpowiedzi.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się zastosowanie kontekstowo wrażliwego kodowania HTML dla wartości ścieżek w odpowiedziach oraz aktualizację oprogramowania do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
The web interface of Gira Giersiepen Gira KNX/IP-Router 3.1.3683.0 and 3.3.8.0 responds with a "404 - Not Found" status code if a path is accessed that does not exist. However, the value of the path is reflected in the response. As the application will reflect the supplied path without context-sensitive HTML encoding, it is vulnerable to reflective cross-site scripting (XSS).