CVE-2023-46003 (XSS stocké dans i-doit Pro 25 et versions antérieures)

i-doit Pro 25 et versions antérieures sont vulnérables à une faille de type XSS stocké. Cette faille permet à des attaquants authentifiés à distance (avec des privilèges faibles ou élevés) de stocker des données dangereuses (charge utile XSS ou fausse page HTML) dans une base de données ; la charge utile XSS est déclenchée au chargement de la page web.

Description du produit : i-doit est une solution web de documentation informatique et de base de données de gestion de configuration (CMDB - Configuration Management Database) développée par synetics GmbH. i-doit Pro est la version commerciale du logiciel et nécessite une licence payante. Elle offre des fonctionnalités supplémentaires, un support professionnel, ainsi que des mises à jour et des améliorations régulières. Les utilisateurs doivent acheter une licence pour utiliser i-doit Pro, et le coût varie en fonction du nombre d'utilisateurs et des fonctionnalités requises.

Description de la vulnérabilité : Nous avons constaté que cette application web permet à tout utilisateur authentifié de stocker des données dangereuses (charge utile XSS ou fausse page HTML) dans une base de données, qui sont déclenchées au chargement de la page web.

Page web affectée : /?moduleID et /index.php

Paramètres et composants affectés : 'Title' , 'SYSID prefix' , 'Language content' , 'Automatic Inventory number' , 'objectTitle' , 'Description'

Remarque : les paramètres affectés ont été reconnus par les développeurs, car il y a plus de 20 paramètres au total.

Composants affectés : Tableau de bord

step1