CVE-2023-46003 (i-doit Pro 25 और उससे नीचे में Stored XSS)

i-doit Pro 25 और उससे नीचे Stored XSS भेद्यता के प्रति संवेदनशील हैं। ये दूरस्थ प्रमाणित हमलावरों (निम्न या उच्च विशेषाधिकार) को डेटाबेस में खतरनाक डेटा (xss पेलोड या नकली html पृष्ठ) संग्रहीत करने की अनुमति दे सकते हैं, जब वेबपृष्ठ लोड होता है तो xss पेलोड ट्रिगर हो जाएगा।

उत्पाद का विवरण: i-doit synetics GmbH द्वारा विकसित एक वेब-आधारित IT दस्तावेज़ीकरण और CMDB (कॉन्फ़िगरेशन प्रबंधन डेटाबेस) है, i-doit Pro सॉफ़्टवेयर का व्यावसायिक संस्करण है और इसके लिए सशुल्क लाइसेंस की आवश्यकता होती है। यह अतिरिक्त सुविधाओं, पेशेवर समर्थन और नियमित अपडेट एवं संवर्द्धन के साथ आता है। i-doit Pro का उपयोग करने के लिए उपयोगकर्ताओं को लाइसेंस खरीदने की आवश्यकता होती है, और लागत उपयोगकर्ताओं की संख्या और आवश्यक सुविधाओं के आधार पर भिन्न होती है।

भेद्यता का विवरण: हमने पाया कि यह वेब एप्लिकेशन किसी भी प्रमाणित उपयोगकर्ता को डेटाबेस में खतरनाक डेटा (xss पेलोड या नकली html पृष्ठ) संग्रहीत करने की अनुमति देता है, जब वेबपृष्ठ लोड होता है तो यह ट्रिगर हो जाता है।

प्रभावित वेबपृष्ठ: /?moduleID और /index.php

प्रभावित पैरामीटर और घटक : 'Title' , 'SYSID prefix' , 'Language content' , 'Automatic Inventory number' , 'objectTitle' , 'Description'

नोट: डेवलपर्स ने प्रभावित पैरामीटर स्वीकार किए हैं क्योंकि कुल मिलाकर 20 से अधिक पैरामीटर हैं।

प्रभावित घटक : Dashboard

step1