Sicherheitshinweis zu Reflected XSS in der MikroTik-Hotspot-Anmeldeseite

Übersicht

In der Hotspot-Anmeldeseite von MikroTik RouterOS wurde eine Schwachstelle für Reflected Cross-Site Scripting (XSS) entdeckt. Die Schwachstelle wird über den URL-Parameter dst ausgelöst, dessen Eingabe nicht ordnungsgemäß bereinigt wird, sodass bösartiger JavaScript-Code im Browser des Opfers ausgeführt werden kann.

Betroffenes Produkt

• Hotspot-Anmeldeseite von MikroTik RouterOS
• Versionen niedriger als 7.20

Details zur Schwachstelle

• Die Schwachstelle tritt auf, wenn ein Angreifer eine URL wie die folgende erstellt:

http://target-ip/login?dst=javascript:alert(3)

• Wenn Benutzer diese URL besuchen, wird das JavaScript in der Antwort reflektiert, was zur Skriptausführung im Browser führt.

Auswirkungen

Diese Schwachstelle kann zu Session-Hijacking, Phishing-Angriffen oder der Weiterleitung von Benutzern auf bösartige Websites führen und die Sicherheit von Benutzern gefährden, die mit der Hotspot-Anmeldeseite interagieren.