CVE-2022-25257

SAS Logon 9.4 चेतावनी-संदेश इंजेक्शन की अनुमति देता है।

खोजा गया: 15 फरवरी, 2022

प्रभावित संस्करण:

9.4

POC शोषण:

SASLogon/csrf में एक पैरामीटर है जिसे "target" कहा जाता है

यह पैरामीटर उस URL के लिए चेतावनी संदेश को प्रभावित करता है जिसे उपयोगकर्ता खोलने वाला था (लेकिन, अज्ञात उत्पत्ति के कारण, सिस्टम इसे रोकता है)। पैरामीटर को बदलकर, कोई एक लंबा नकली कथन लिख सकता है जो एक अनजान उपयोगकर्ता को प्रभावित कर सकता है।

पेलोड का उदाहरण: https://example:8343/SASLogon/csrf?target=Hello%20Dear%20customers%20during%20the%20corona%20pandemic%20our%20new%20website%20is%20at%20http://evilRobertsWeb.com%20please%20visit%20this%20link%20to%20reset%20the%20password

चित्र: