Podatności VertiGIS WebOrderSystem

Interfejs webowy ASMobile w pakiecie VertiGIS GIS Portal pozwala uwierzytelnionym użytkownikom zdefiniować referencję biznesową, w którą można wstawić kod JavaScript. Sam w sobie jest to self-XSS, ale referencja jest dołączana do szczegółów zamówienia i później wyświetlana w portalu OrderAdministration (AuftragsManager) systemu VertiGIS WebOrderSystem, gdzie kod wykonuje się, gdy uprzywilejowany użytkownik otworzy zamówienie.

Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom wyszukiwać pracowników we wszystkich firmach (grupach użytkowników). Wyszukiwany termin można przekazać w parametrze URL searchValue, więc wyszukiwanie odbywa się, gdy zalogowany użytkownik otworzy taki URL, a kod JavaScript w tym parametrze jest wykonywany w przeglądarce ofiary.

Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom zarządzać pracownikami zdefiniowanych firm (grup użytkowników). Właściwości użytkownika, np. parametr "secondName", można wypełnić kodem JavaScript podczas edycji użytkownika; kod jest zapisywany i wykonywany w przeglądarce innego uprzywilejowanego użytkownika, który otworzy edytowany wpis lub przegląd grupy. Uwierzytelniony atakujący z dostępem do portalu może w ten sposób uruchomić skrypt w sesji innych użytkowników portalu. Podatna jest wersja 7.0.8.6, najnowsza dostępna w momencie testów; dostawca nie podał informacji o innych podatnych wersjach.