QlikView <= 12.60 (SR सहित) संग्रहीत क्रॉस साइट स्क्रिप्टिंग (CVE-2022-42248)

विषय सूची

1. अवलोकन
2. विस्तृत विवरण
3. प्रूफ ऑफ कॉन्सेप्ट
4. समाधान
5. प्रकटीकरण समयरेखा
6. संदर्भ
7. श्रेय
8. कानूनी सूचनाएँ

अवलोकन

संशोधन: 1.0

प्रभाव: QlikView Ajax क्लाइंट में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग एक दूरस्थ हमलावर को इंटरैक्टिव ऑब्जेक्ट निर्माण के दौरान अनुमत-प्रोटोकॉल सीमा को दरकिनार करके पीड़ित के ब्राउज़र में मनमानी वेब स्क्रिप्ट या HTML निष्पादित करने की अनुमति देती है।

गंभीरता:

• NVD: उच्च

CVSS स्कोर:

• NVD: 7.6 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N)

CVE-ID: CVE-2022-42248

विक्रेता: Qlik

प्रभावित उत्पाद:

• QlikView

प्रभावित संस्करण: 12.60 और इससे पहले के, SR बिल्ड सहित

उत्पाद विवरण

QlikView एक व्यावसायिक खुफिया और डेटा विज़ुअलाइज़ेशन प्लेटफ़ॉर्म है जिसका उपयोग इंटरैक्टिव डैशबोर्ड और विश्लेषणात्मक सामग्री का पता लगाने और प्रस्तुत करने के लिए किया जाता है।

---

विस्तृत विवरण

QlikView Ajax क्लाइंट में, इंटरैक्टिव ऑब्जेक्ट निर्माण के दौरान अनुमत प्रोटोकॉल पर लागू सत्यापन को एक विशेष रूप से तैयार HTTP POST अनुरोध के साथ दरकिनार किया जा सकता है। यह एक हमलावर को दुर्भावनापूर्ण वेब सामग्री संग्रहीत करने की अनुमति देता है जो बाद में उपयोगकर्ता को वापस प्रस्तुत की जाती है।