MikroTik हॉटस्पॉट लॉगिन पृष्ठ रिफ्लेक्टेड XSS भेद्यता परामर्श

अवलोकन

मिक्रोटिक RouterOS हॉटस्पॉट लॉगिन पृष्ठ में एक रिफ्लेक्टेड क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता पाई गई। यह भेद्यता dst URL पैरामीटर के माध्यम से ट्रिगर होती है, जो इनपुट को ठीक से सैनिटाइज़ नहीं करता, जिससे पीड़ित के ब्राउज़र में दुर्भावनापूर्ण JavaScript कोड निष्पादित हो सकता है।

प्रभावित उत्पाद

• MikroTik RouterOS हॉटस्पॉट लॉगिन पृष्ठ
• 7.20 से निचले संस्करण

भेद्यता विवरण

• यह भेद्यता तब उत्पन्न होती है जब कोई हमलावर निम्न प्रकार का URL बनाता है:

http://target-ip/login?dst=javascript:alert(3)

• जब उपयोगकर्ता इस URL पर जाते हैं, तो JavaScript प्रतिक्रिया में प्रतिबिंबित होता है, जिससे ब्राउज़र में स्क्रिप्ट निष्पादन होता है।

प्रभाव

यह भेद्यता सत्र अपहरण (session hijacking), फ़िशिंग हमलों, या उपयोगकर्ताओं को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित करने का कारण बन सकती है, जिससे हॉटस्पॉट लॉगिन पृष्ठ के साथ इंटरैक्ट करने वाले उपयोगकर्ताओं की सुरक्षा से समझौता हो सकता है।

आक्रमण वेक्टर