CVE-2020-26733

SKYWORTH GN542VF Hardware-Version 2.0 und Software-Version 2.0.0.16 Cross-Site-Scripting (XSS)-Schwachstelle

Beschreibung

Cross-Site-Scripting (XSS) auf der Konfigurationsseite in SKYWORTH GN542VF Hardware-Version 2.0 und Software-Version 2.0.0.16 ermöglicht es einem authentifizierten Angreifer, über den DDNS-Konfigurationsbereich eigenen Skriptcode in die Seite einzuschleusen.

Zusätzliche Informationen

Die Behebung nutzt geeignete Antwort-Header. Um XSS in HTTP-Antworten zu verhindern, die kein HTML oder JavaScript enthalten sollen. Die Verwendung der Header Content-Type und X-Content-Type-Options stellt sicher, dass Browser die Antworten wie beabsichtigt interpretieren.

Schwachstellentyp

Cross-Site-Scripting (XSS)

Produktanbieter

SKYWORTH

Betroffene Produktcodebasis

SKYWORTH GN542VF - Hardware-Version 2.0 und Software-Version 2.0.0.16

Betroffene Komponente

DDNS-Konfigurationsbereich auf der Konfigurationsseite des SKYWORTH GN542VF-Routers.

Angriffsart

Lokal

Auswirkung Codeausführung

true

Auswirkung Informationsoffenlegung

true

CVE-Auswirkung Sonstiges

Offenlegung des Sitzungscookies des Benutzers, wodurch ein Angreifer die Sitzung des Benutzers kapern und das Konto übernehmen kann.

Angriffsvektoren

Um die Schwachstelle auszunutzen, muss der Angreifer authentifiziert sein.

Entdecker

Jiraput Thamsongkrah

Proof of Concept