CVE-2023-38333

ŚrednieCVSS 6.1

Opublikowano: 10/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

1.98%

Percentyl 78 - wyżej niż 78% wszystkich znanych CVE

Streszczenie

Zoho ManageEngine Applications Manager w wersji do 16530 umożliwia wystąpienie refleksyjnego ataku XSS podczas zalogowania.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania złośliwego skryptu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji Zoho ManageEngine Applications Manager, aby zniwelować ryzyko związane z tą podatnością.

Inne podatności w Zoho ManageEngine Applications Manager

Zobacz wszystkie

CVE-2017-16542Wysokie
Zoho ManageEngine Applications Manager w wersji 13 przed build 13500 umożliwia atak typu SQL injection po uwierzytelnieniu poprzez parametr name w żądaniu manageApplications.do?method=insert.
CVE-2017-16851Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed build 13530 jest podatny na atak typu SQL injection poprzez parametr widgetid w /MyPage.do.
CVE-2017-16850Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji getResourceProfiles.
CVE-2017-16849Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed kompilacją 13530 jest podatny na atak typu SQL injection poprzez parametr forpage w żądaniu /MyPage.do?method=viewDashBoard.
CVE-2017-16848Krytyczne
Zoho ManageEngine Applications Manager 13 zawiera podatność na wstrzykiwanie SQL poprzez parametr groupname w /manageConfMons.do.
CVE-2017-16847Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed budową 13530 jest podatny na atak typu SQL injection poprzez parametr resourceid w akcji showPlasmaView.
CVE-2017-16846Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13530 jest podatny na atak typu SQL injection poprzez parametr haid w żądaniu /manageApplications.do?method=AddSubGroup.
CVE-2017-16543Krytyczne
Zoho ManageEngine Applications Manager w wersji 13 przed buildem 13500 jest podatny na atak typu SQL injection poprzez GraphicalView.do, co zostało udowodnione za pomocą spreparowanego pola viewProps yCanvas lub parametru viewid.

Oryginalny opis (angielski, źródło NVD)

Zoho ManageEngine Applications Manager through 16530 allows reflected XSS while logged in.