エクスプロイトタイトル: INCOGNITO SAC 保存型クロスサイトスクリプティング (XSS) 脆弱性

日付: 2024年7月26日

エクスプロイト作者: Etienne Supra

ベンダーホームページ: https://www.incognito.com/products/service-activation-center/

バージョン: 14.11

CVE : CVE-2024-42834

ベンダーには通知済みであり、ベンダーは本脆弱性を認識しています。

脆弱性の概要

Incognito Service Activation Center ユーザーインターフェース (SAC UI) の customerManager API および ManageAccount_retrieve モジュールに、保存型クロスサイトスクリプティング (XSS) 脆弱性が確認されました。 SAC UI バージョン 14.11 では、リモートの認証済み攻撃者が ‘lastName’ パラメータを介して任意の JavaScript または HTML を注入できます。悪意のある JavaScript が送信された場合、それは Web サーバーに保存され、閲覧時にユーザーのブラウザ上で実行されます。 XSS は、ユーザーアカウントが ManageAccount_retrieve ページで閲覧された際に実行されました。 本脆弱性の修正はベンダー側に委ねられており、API 入力と SAC UI 出力のサニタイズが必要となります。