CVE-2019-1332: Cross-Site Scripting Riflesso in Microsoft SQL Server Reporting Services

Esiste una vulnerabilità di cross-site scripting (XSS) quando Microsoft SQL Server Reporting Services (SSRS) non sanifica correttamente una richiesta web appositamente predisposta verso un server SSRS interessato. Un attaccante che sfruttasse con successo la vulnerabilità potrebbe eseguire script nel contesto dell'utente preso di mira. Gli attacchi potrebbero consentire all'attaccante di leggere contenuti non autorizzati, eseguire codice dannoso e utilizzare l'identità della vittima per compiere azioni sul sito per conto dell'utente, come modificare le autorizzazioni ed eliminare contenuti.

Nota: Per sfruttare la vulnerabilità, un attaccante dovrebbe convincere un utente autenticato a fare clic su un collegamento appositamente predisposto verso un server SSRS interessato.

Divulgazione del fornitore:

La divulgazione e la correzione di questa vulnerabilità da parte del fornitore possono essere trovate qui.

Requisiti:

Questa vulnerabilità richiede:

• Convincere un utente SSRS autenticato a fare clic su un collegamento appositamente predisposto

Prova di concetto:

Maggiori dettagli e il processo di sfruttamento possono essere trovati in questo PDF.