الوصف

يتأثر AML Surety Eco حتى الإصدار 3.5 بثغرة برمجة نصية عبر المواقع (XSS) من النوع المنعكس (Reflected) دون مصادقة.

يتعامل تطبيق الويب المستهدف مع الأخطاء عبر صفحة خطأ مخصصة (يمكن الوصول إليها دون أي مصادقة) تحتوي على معامل رابط (URL parameter) لا يعقّم مدخلات المستخدم. تنعكس قيمة المعامل المُقدَّم من تطبيق الويب، مما يتسبب في تنفيذ حمولات ضارة لتعليمات JavaScript البرمجية في متصفح الضحية.

الخطورة

• الخطورة: متوسطة
• درجة CVSS v3.1: 5.4
• متجه CVSS v3.1: AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

الموارد المتأثرة

• الإصدار: حتى AML Surety Eco v3.5
• https://<application-baseurl>/Surety3Eco/AppError.aspx

المعامل القابل للاستغلال:

• id

الأدلة

من الممكن حقن حمولة JavaScript في معامل الرابط id

يمكن للمهاجم توفير الرابط مع حمولة JavaScript للضحية، وعند فتحه في المتصفح يؤدي ذلك إلى تنفيذ تعليمات JavaScript البرمجية.