security-avs/cve-2020-16270Proof-of-concept per CVE-2020-16270, una vulnerabilità XSS in OLIMPOKS sotto 3.3.39, che dimostra l'iniezione remota di JavaScript dannoso per rubare cookie di amministrazione ed eseguire attacchi di phishing.
[Descrizione suggerita]: OLIMPOKS con versioni precedenti alla 3.3.39 consente XSS in Auth/Admin ErrorMessage.
Un attaccante remoto può utilizzare la vulnerabilità scoperta per iniettare payload JavaScript dannosi nei browser delle vittime nel contesto delle applicazioni vulnerabili. Il codice eseguito può essere utilizzato per rubare i cookie dell'amministratore, influenzare il contenuto HTML dell'applicazione presa di mira ed eseguire attacchi legati al phishing. L'applicazione vulnerabile è utilizzata in più di 3000 organizzazioni in diversi settori, dalla vendita al dettaglio all'industria.
[Informazioni aggiuntive]:
È stata inviata una lettera al fornitore riguardo alla vulnerabilità. La vulnerabilità è stata confermata dal fornitore.
La vulnerabilità è stata confermata da un'agenzia governativa: https://bdu.fstec.ru/vul/2020-04623
[Tipo di vulnerabilità]: Cross Site Scripting (XSS)
[Fornitore del prodotto]: olimpoks.ru
[Base di codice del prodotto interessato]: sistema olimpoks online con versioni precedenti alla 3.3.39.
[Tipo di attacco]: Remoto
[Impatto Denial of Service]: Falso
[Impatto Divulgazione di informazioni]: Vero
[Vettori di attacco]: URL e parametro vulnerabili: http://olimpoks.TARGET-HOST:9001/Auth/Admin?ErrorMessage=bb%27);alert(1);//
[Scoperta]: Alexander Semenenko, Luka Safonov, Sergey Zelensky
[Prova di concetto]:
