विवरण

AML Surety Eco संस्करण 3.5 तक एक अप्रमाणित परावर्तित क्रॉस-साइट स्क्रिप्टिंग से प्रभावित है।

लक्ष्य वेब एप्लिकेशन एक समर्पित त्रुटि पृष्ठ (बिना किसी प्रमाणीकरण के सुलभ) पर त्रुटि को संभालता है, जिसमें एक URL पैरामीटर है जो उपयोगकर्ता इनपुट को स्वच्छ नहीं कर रहा है। प्रदान किया गया पैरामीटर मान वेब एप्लिकेशन से परावर्तित होता है, जिससे दुर्भावनापूर्ण पेलोड पीड़ित के ब्राउज़र पर जावास्क्रिप्ट कोड निष्पादित करते हैं।

जोखिम

• गंभीरता: मध्यम
• CVSS v3.1 स्कोर: 5.4
• CVSS v3.1 वेक्टर: AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

प्रभावित संसाधन

• संस्करण: AML Surety Eco v3.5 तक
• https://<application-baseurl>/Surety3Eco/AppError.aspx

कमजोर पैरामीटर:

• id

साक्ष्य

id URL पैरामीटर में एक जावास्क्रिप्ट पेलोड इंजेक्ट करना संभव है

हमलावर जावास्क्रिप्ट पेलोड के साथ URL प्रदान कर सकता है, जिसे पीड़ित अपने ब्राउज़र में खोलता है, जिसके परिणामस्वरूप जावास्क्रिप्ट कोड निष्पादित होता है।