CVE-2021-40223

एप्लिकेशन: Rittal CMC PU III वेब प्रबंधन

उपकरण: CMC PU III 7030.000

सॉफ़्टवेयर संशोधन: V3.11.00_2

हार्डवेयर संशोधन: V3.00

हमले का प्रकार: संग्रहीत XSS

समाधान: सॉफ़्टवेयर संशोधन V3.17.10 या उसके बाद के संस्करण में अपडेट करें

सारांश: वेब एप्लिकेशन सुरक्षा उपयोगकर्ता कॉन्फ़िगरेशन डायलॉग और टास्क टैब पर उपयोगकर्ता इनपुट को सैनिटाइज़ करने में विफल रहता है। यह हमलावर को वेब एप्लिकेशन में HTML या ब्राउज़र-व्याख्यायित सामग्री इंजेक्ट करने की अनुमति देता है। इस मामले में, उपयोगकर्ता कॉन्फ़िगरेशन का XSS प्रमाणीकरण किए जाने पर और लॉग में भी प्रदर्शित होगा। टास्क का XSS भी लॉग अनुभाग में व्याख्यायित किया जाएगा। यह ध्यान देने योग्य है कि दोनों XSS लॉग में तब तक स्थायी रहेंगे जब तक उन्हें हटाया नहीं जाता, भले ही दुष्ट इनपुट मानों को सही मानों में बदल दिया जाए। सफल शोषण के लिए वैध या अपहृत सत्र के साथ वेब प्रबंधन इंटरफ़ेस तक पहुँच की आवश्यकता होती है।

समयरेखा:

• 2021-08-03 समस्याएँ खोजी गईं
• 2021-08-08 विक्रेता से ईमेल के माध्यम से पहला संपर्क
• 2021-08-23 विक्रेता से ईमेल के माध्यम से दूसरा संपर्क
• 2021-09-01 भेद्यता पैच की पुष्टि हुई