CVE-2024-51026 - NetAdmin IAM में क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता

विवरण

NetAdmin IAM सिस्टम (संस्करण 4.0.30319) में /BalloonSave.ashx एंडपॉइंट पर क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है, जहाँ Content= फ़ील्ड में एक दुर्भावनापूर्ण पेलोड इंजेक्ट किया जा सकता है। कोई भी प्रमाणित उपयोगकर्ता इस भेद्यता का शोषण कर सकता है, वर्णित एंडपॉइंट के भीतर एक अनुरोध के "Content" फ़ील्ड में एक स्क्रिप्ट डालकर। यह स्क्रिप्ट हर बार निष्पादित होगी जब भेद्य पृष्ठ पुनः लोड होता है।

भेद्यता का विवरण

• प्रकार: क्रॉस-साइट स्क्रिप्टिंग (XSS)
• प्रभावित संस्करण: 4.0.30319

CVSS स्कोर और आक्रमण वेक्टर

• आधार स्कोर (CVSS): 7.3
• आक्रमण वेक्टर: CVSS कैलकुलेटर

भेद्य एंडपॉइंट

• URL: https://netadmin.mysystem/BalloonSave.ashx
• प्रभावित पैरामीटर: Content=

समाधान

सुधार की स्थिति

• स्वीकृति परीक्षण में: इस भेद्यता का सुधार वर्तमान में स्वीकृति परीक्षण चरण में है।

शमन अनुशंसाएँ

जब तक आधिकारिक सुधार विक्रेता द्वारा उपलब्ध नहीं कराया जाता, तब तक निम्नलिखित अनुशंसा की जाती है:

1. सिस्टम के विक्रेता से संस्करण अद्यतन का अनुरोध करें।
2. XSS इंजेक्शन के जोखिम को कम करने के लिए अतिरिक्त सुरक्षा उपाय लागू करें, जैसे उपयोगकर्ता डेटा इनपुट पर प्रतिबंध।

शमन के लिए संदर्भ

• CWE-79: वेब पेज निर्माण के दौरान इनपुट का अनुचित निष्प्रभावीकरण ('क्रॉस-साइट स्क्रिप्टिंग')
• CWE-80: वेब पेज में स्क्रिप्ट-संबंधित HTML टैग का अनुचित निष्प्रभावीकरण (मूल XSS)
• CWE-116: आउटपुट का अनुचित एन्कोडिंग या एस्केपिंग
• CWE-159: अपर्याप्त विशेषाधिकारों का अनुचित प्रबंधन

---

इस भेद्यता के बारे में अधिक जानकारी या शमन उपायों के कार्यान्वयन में तकनीकी सहायता के लिए, विक्रेता के सुरक्षा समर्थन से संपर्क करें।