CVE-2024-51026 - Cross-Site-Scripting (XSS)-Schwachstelle in NetAdmin IAM

Beschreibung

Das NetAdmin IAM-System (Version 4.0.30319) weist eine Cross-Site-Scripting (XSS)-Schwachstelle im Endpunkt /BalloonSave.ashx auf, bei der ein schädliches Payload in das Feld Content= injiziert werden kann. Jeder authentifizierte Benutzer kann diese Schwachstelle ausnutzen, indem er ein Skript in das Feld "Content" einer Anfrage innerhalb des beschriebenen Endpunkts einfügt. Dieses Skript wird jedes Mal ausgeführt, wenn die anfällige Seite aktualisiert wird.

Details der Schwachstelle

• Typ: Cross-Site-Scripting (XSS)
• Betroffene Version: 4.0.30319

CVSS-Score und Angriffsvektoren

• Basis-Score (CVSS): 7.3
• Angriffsvektoren: CVSS-Rechner

Verwundbarer Endpunkt

• URL: https://netadmin.mysystem/BalloonSave.ashx
• Betroffener Parameter: Content=

Lösung

Status der Korrektur

• In der Abnahmephase: Die Korrektur für diese Schwachstelle befindet sich derzeit in der Abnahmephase.

Empfehlungen zur Schadensminderung

Bis die offizielle Korrektur vom Anbieter bereitgestellt wird, wird Folgendes empfohlen:

1. Fordern Sie die Aktualisierung der Version vom Systemanbieter an.
2. Implementieren Sie zusätzliche Sicherheitsmaßnahmen wie Einschränkungen bei der Eingabe von Benutzerdaten, um das Risiko von XSS-Injektionen zu mindern.

Referenzen zur Schadensminderung

• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
• CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
• CWE-116: Improper Encoding or Escaping of Output
• CWE-159: Improper Handling of Insufficient Privileges

---

Für weitere Details zu dieser Schwachstelle oder technische Unterstützung bei der Umsetzung der Schadensminderungsmaßnahmen wenden Sie sich bitte an den Sicherheitssupport des Anbieters.