Podatności GFI Archiver

GFI Archiver przed wersją 15.13 zawiera podatność na trwały cross-site scripting (XSS) w konfiguracji zaplanowanych raportów MailInsights, która umożliwia uwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu internetowego lub HTML za pomocą parametru nazwy raportu w /Archiver/MailInsights.aspx. Wstrzyknięty ładunek jest przechowywany przez ReportScheduling.btnSaveReport_Click() bez kodowania wyjścia i jest wykonywany w przeglądarce użytkownika, który utworzył zaplanowany raport, gdy następnie przegląda stronę MailInsights.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w domyślnych ustawieniach importu. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr skonfigurowanych folderów w /Archiver/ImportSettingsWizard.ashx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia domyślnego importu.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji Asystenta Archiwizacji Plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr wykluczonych rozszerzeń w /Archiver/FileArchiveAssistantWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających ustawienia Asystenta.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji SMTP w Ustawieniach Ogólnych. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera SMTP w /Archiver/GeneralSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Ogólnych.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera IMAP. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu URL serwera w /Archiver/ImapServerWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę konfiguracji serwera IMAP.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania historii plików. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/FAARetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania historii plików.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji zasad przechowywania. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr nazwy polityki w /Archiver/RetentionPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę zasad przechowywania i spamowych.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji reguł klasyfikacji. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametry nazwy reguły i kryteriów e-mail w /Archiver/CategorizationPolicyWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę reguł klasyfikacji.

W GFI Archiver przed wersją 15.13 występuje podatność na trwałe XSS w konfiguracji serwera proxy Call Home. Uwierzytelniony atakujący może wstrzyknąć dowolny skrypt lub kod HTML przez parametr adresu serwera proxy w /Archiver/CallHomeSettingsWizard.aspx. Wstrzyknięty ładunek jest przechowywany bez kodowania wyjścia i wykonywany w przeglądarkach użytkowników przeglądających stronę Ustawień Dodatkowych Ustawień Ogólnych.