Avviso di vulnerabilità XSS riflesso nella pagina di accesso all'hotspot MikroTik

Panoramica

È stata scoperta una vulnerabilità di Cross-Site Scripting (XSS) riflesso nella pagina di accesso all'hotspot MikroTik RouterOS. La vulnerabilità viene innescata tramite il parametro URL dst, che non sanifica correttamente l'input, consentendo l'esecuzione di codice JavaScript dannoso nel browser della vittima.

Prodotto interessato

• Pagina di accesso all'hotspot MikroTik RouterOS
• Versioni precedenti alla 7.20

Dettagli della vulnerabilità

• La vulnerabilità si verifica quando un utente malintenzionato crea un URL come:

http://target-ip/login?dst=javascript:alert(3)

• Quando gli utenti visitano questo URL, il JavaScript viene riflesso nella risposta, portando all'esecuzione dello script nel browser.

Impatto

Questa vulnerabilità può portare al dirottamento della sessione, ad attacchi di phishing o al reindirizzamento degli utenti verso siti web dannosi, compromettendo la sicurezza degli utenti che interagiscono con la pagina di accesso all'hotspot.