CVE-2024-48591

Offenlegung einer Sicherheitslücke: XSS in Inflectra SpiraTeam 7.2.00

Beschreibung

Inflectra SpiraTeam Version 7.2.00 ist anfällig für Cross-Site Scripting (XSS) durch das Hochladen speziell gestalteter SVG-Dateien, die JavaScript ausführen können, wenn sie direkt angezeigt werden.

Art der Schwachstelle

Cross-Site Scripting (XSS)

Hersteller

Inflectra

Betroffenes Produkt

SpiraTeam 7.2.00

Betroffene Komponente

Bereich TestRuns

Angriffsart

Remote

Auswirkungen

• Erweiterung von Berechtigungen: Ermöglicht Angreifern, möglicherweise höhere Zugriffsebenen zu erlangen.

Angriffsvektoren

Ein Angreifer kann eine speziell gestaltete SVG-Datei mit JavaScript hochladen. Wenn die Datei direkt angezeigt wird, wird das JavaScript im Browser des Betrachters ausgeführt.

Referenzen

• OWASP: Cross-Site Scripting (XSS)
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

Bestätigung durch den Hersteller

Inflectra hat die Existenz dieser Schwachstelle bestätigt.

Entdecker

Gareth Catterall https://www.anchorsec.co.uk

Hinweis

Benutzer von SpiraTeam 7.2.00 sollten auf die neueste Version aktualisieren.