CVE-2023-33732
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W formularzu Nowa Polityka w konsoli zarządzania eScan firmy Microworld Technologies występuje podatność Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wstrzyknięcie dowolnego kodu poprzez podatne parametry type, txtPolicyType oraz Deletefileval.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków XSS, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Organizacje powinny być świadome potencjalnych zagrożeń związanych z bezpieczeństwem aplikacji.
Rekomendacja
Zaleca się aktualizację konsoli zarządzania eScan do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe zabezpieczenia, takie jak walidacja danych wejściowych.
Inne podatności w Microworld Technologies eScan management console 14.0.1400.2281
Zobacz wszystkie- CVE-2023-33730Krytyczne
W funkcji 'GetUserCurrentPwd' w konsoli zarządzania eScan firmy Microworld Technologies występuje luka umożliwiająca eskalację uprawnień. Luka ta pozwala zdalnemu atakującemu na uzyskanie hasła dowolnego użytkownika (admina lub zwykłego) w formacie tekstu jawnego.
- CVE-2023-33731Średnie
W konsoli zarządzania eScan firmy Microworld Technologies w wersji 14.0.1400.2281 występuje podatność na odzwierciedlone ataki Cross Site Scripting (XSS) w funkcji wyświetlania szczegółów dashboardu. Umożliwia to zdalnemu atakującemu wstrzyknięcie dowolnego kodu za pomocą URL.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting (XSS) in the New Policy form in Microworld Technologies eScan management console 14.0.1400.2281 allows a remote attacker to inject arbitrary code via the vulnerable parameters type, txtPolicyType, and Deletefileval.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS