CVE-2023-33336
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wykryto podatność typu reflected cross site scripting (XSS) w Sophos Web Appliance w wersji 4.3.9.1, która umożliwia wprowadzenie dowolnego kodu za pomocą podwójnych cudzysłowów.
Ocena ryzyka
Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co stwarza zagrożenie dla bezpieczeństwa danych i systemów organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania Sophos Web Appliance, aby usunąć tę podatność oraz monitorowanie systemów pod kątem potencjalnych ataków.
Inne podatności w Sophos Web Appliance v4.3.9.1
Zobacz wszystkie- CVE-2017-6412Wysokie
W urządzeniach Sophos Web Appliance (SWA) przed wersją 4.3.1.2 może wystąpić podatność na atak typu Session Fixation, znana również jako NSWA-1310.
- CVE-2014-2850Wysokie
Strona konfiguracji interfejsu sieciowego w Sophos Web Appliance przed wersją 3.8.2 umożliwia zdalnym administratorom wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w parametrze adresu.
- CVE-2014-2849Wysokie
Okno dialogowe zmiany hasła w Sophos Web Appliance przed wersją 3.8.2 pozwala zdalnym, uwierzytelnionym użytkownikom na zmianę hasła administratora za pomocą odpowiednio skonstruowanego żądania.
- CVE-2013-2642Wysokie
Sophos Web Appliance w wersjach przed 3.7.8.2 umożliwia zdalnym atakującym wykonanie dowolnych poleceń poprzez metaznaki powłoki w parametrze client-ip na stronie blokady oraz zdalnym uwierzytelnionym użytkownikom wykonanie dowolnych poleceń poprzez metaznaki powłoki w parametrach url i entries.
- CVE-2023-1671KrytyczneAktywnie exploitowane
Podatność wstrzyknięcia poleceń przed uwierzytelnieniem w obsłudze warn-proceed w Sophos Web Appliance starszej niż wersja 4.3.10.4. Pozwala na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Reflected cross site scripting (XSS) vulnerability was discovered in Sophos Web Appliance v4.3.9.1 that allows for arbitrary code to be inputted via the double quotes.