ozozuz/qlik-view-12.60-including-sr-stored-cross-site-scripting-cve-2022-42248Proof-of-concept-Exploit für CVE-2022-42248, eine gespeicherte Cross-Site-Scripting-Schwachstelle im QlikView Ajax Client, die es entfernten Angreifern ermöglicht, beliebige Webskripte über manipulierte HTTP-POST-Anfragen auszuführen.
Revision: 1.0
Auswirkung: Gespeichertes Cross-Site-Scripting im QlikView Ajax Client ermöglicht es einem entfernten Angreifer, beliebige Webskripte oder HTML im Browser eines Opfers auszuführen, indem die Beschränkung der erlaubten Protokolle während der Erstellung interaktiver Objekte umgangen wird.
Schweregrad:
CVSS-Score:
CVE-ID: CVE-2022-42248
Anbieter: Qlik
Betroffene Produkte:
Betroffene Versionen: 12.60 und früher, einschließlich SR-Builds
QlikView ist eine Business-Intelligence- und Datenvisualisierungsplattform, die zur Erkundung und Präsentation interaktiver Dashboards und analytischer Inhalte verwendet wird.
Im QlikView Ajax Client kann die bei der Erstellung interaktiver Objekte angewandte Validierung der erlaubten Protokolle mit einer speziell gestalteten HTTP-POST-Anfrage umgangen werden. Dies ermöglicht es einem Angreifer, schädliche Webinhalte zu speichern, die später an den Benutzer zurückgegeben werden.
Da die Nutzlast gespeichert und dann über den Anwendungsablauf ausgeliefert wird, führt der Browser das eingeschleuste Skript oder HTML im Kontext der vertrauenswürdigen QlikView-Quelle aus.
Senden Sie eine speziell gestaltete HTTP-POST-Anfrage, die eine Nutzlast in den Erstellungsablauf eines interaktiven Objekts einschleust.
Beispiel-Nutzlast:
<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.domain)"></svg>
Der schädliche Inhalt wird akzeptiert und später ausgeführt, wenn das betroffene Objekt im QlikView Ajax Client gerendert wird.
Beziehen Sie sich auf die QlikView-Release-Notes Mai 2022 SR2 und aktualisieren Sie auf 12.70 SR2 oder höher.
Diese Schwachstelle wurde entdeckt und gemeldet von:
Copyright (c) 2025 Giulio Garzia "Ozozuz"