CVE-2018-25031
Swagger UI 4.1.2 und frühere Versionen könnten es einem entfernten Angreifer ermöglichen, Spoofing-Angriffe durchzuführen. Indem ein Angreifer ein Opfer...
- Veröffentlicht
- 11.03.2022
- Aktualisiert
- 05.08.2024
- CNA zuweisen
- mitre
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:NMittel · nächste 30 Tage
- Perzentil
- 98,7 %
- Modelldatum
- 21.09.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Swagger UI 4.1.2 und frühere Versionen könnten es einem entfernten Angreifer ermöglichen, Spoofing-Angriffe durchzuführen. Indem ein Angreifer ein Opfer dazu bringt, eine manipulierte URL zu öffnen, könnte er diese Schwachstelle ausnutzen, um entfernte OpenAPI-Definitionen anzuzeigen. Hinweis: Ursprünglich wurde behauptet, dass dies in 4.1.3 behoben sei. Dritte haben jedoch darauf hingewiesen, dass dies in 4.1.3 nicht behoben ist und sogar in dieser Version und möglicherweise anderen auftritt.
Quellen
13- SwaggerUI-CVE-2018-25031Exploit
Exploit Swagger UI - Fehldarstellung kritischer Informationen in der Benutzeroberfläche (UI) (CVE-2018-25031)
.json- und .yaml-Dateien zur Ausnutzung von CVE-2018-25031
Proof-of-Concept-Exploit für CVE-2018-25031 (Swagger UI XSS), der Autorisierungscodes über manipulierte configUrl/url-Parameter exfiltriert.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.