CVE-2023-46344
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Podatność w oprogramowaniu Solar-Log Base 15 w wersji 6.0.1 Build 161 umożliwia eskalację uprawnień poprzez wykorzystanie przechowywanego ataku XSS w funkcji grup przełączników. Atakujący może uzyskać prawa instalatora lub PM, a następnie dostęp administracyjny do portalu web.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad urządzeniem Solar-Log przez nieautoryzowanego użytkownika, co może prowadzić do dalszych ataków na infrastrukturę energetyczną organizacji.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie Solar-Log Base do wersji 3.0.0-60 z 11.10.2013 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in Solar-Log Base 15 Firmware 6.0.1 Build 161, and possibly other Solar-Log Base products, allows an attacker to escalate their privileges by exploiting a stored cross-site scripting (XSS) vulnerability in the switch group function under /#ilang=DE&b=c_smartenergy_swgroups in the web portal. The vulnerability can be exploited to gain the rights of an installer or PM, which can then be used to gain administrative access to the web portal and execute further attacks. NOTE: The vendor states that this vulnerability has been fixed with 3.0.0-60 11.10.2013 for SL 200, 500, 1000 / not existing for SL 250, 300, 1200, 2000, SL 50 Gateway, SL Base.