CVE-2020-9758

गंभीरप्रकाशित

प्रकाशित: 9 मार्च 2020
अद्यतन: 4 अग॰ 2024
सीएनए असाइन करना: mitre
साक्ष्य देखे गए: 8 अग॰ 2026

प्राथमिक सीवीएसएस

9.6/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

2.5%

कम · अगले 30 दिन

प्रतिशत: 83.6%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

LiveZilla Live Chat 8.0.1.3 (हेल्पडेस्क) के chat.php में एक समस्या पाई गई। name पैरामीटर में एक ब्लाइंड JavaScript इंजेक्शन मौजूद है। इसे ट्रिगर करने पर URI में हेल्पडेस्क कर्मचारियों के उपयोगकर्ता नाम और पासवर्ड प्राप्त किए जा सकते हैं। इससे विशेषाधिकार वृद्धि होती है, अनप्रमाणित से उपयोगकर्ता-स्तरीय पहुँच तक, जिससे पूर्ण खाता अधिग्रहण होता है। यह हमला कई क्रेडेंशियल प्राप्त करता है क्योंकि वे डेटाबेस में संग्रहीत होते हैं (stored XSS)। यह lgn और psswrd पैरामीटर के माध्यम से मोबाइल/चैट URI को प्रभावित करता है।

स्रोत

CVE-2020-9758PoC
लाइवज़िला में भेद्यता के लिए फ़ॉर्म सबमिशन

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।