CVE-2022-23861: YSoft SafeQ における複数の格納型クロスサイトスクリプティング

YSoft SafeQ Webアプリケーションの複数のフィールドを悪用して悪意のある入力を注入することができ、出力のサニタイズが行われていないため、任意のJSコードが実行されます。これらのフィールドは、SafeQ Webインターフェースにアクセスする正当なユーザーに対してXSS攻撃を実行するために利用される可能性があります。

協力:

この脆弱性はMarian-Razvan Ilisanu氏との協力により発見されました。

NVD開示:

この脆弱性の開示はこちらでご覧いただけます。

必要条件:

この脆弱性を利用するには以下の条件が必要です：

• 脆弱なフィールドにアクセスして編集するための有効なユーザー資格情報

概念実証:

詳細と悪用プロセスはこのPDFでご覧いただけます。