CVE-2023-42362

作成者: Abdelrahman Mohamed (Mr-n0b3dy)

Linked-in: https://www.linkedin.com/in/abdelrhman-mohamed-ashraf-7bb43410b/

脆弱性名: 無制限ファイルアップロードによるATO

深刻度: 高

製品: NCR teller web app

バージョン: 4.4.0

説明:

無制限ファイルアップロードによる格納型クロスサイトスクリプティング（XSS）の脆弱性は、Webアプリケーション内で特定されたセキュリティ問題です。この脆弱性は、ファイルアップロード機能における適切な入力検証の欠如に起因します。

影響:

攻撃者は、JavaScriptコードを含む悪意のあるファイルをアップロードすることで、ローカルストレージに保存されている管理者セッションを乗っ取ることができます。この侵害により、管理者アカウントの乗っ取り（アカウントテイクオーバー）が発生し、攻撃者は管理者機能への完全なアクセス権を獲得する可能性があります。

推奨事項:

NCR Teller Webアプリケーションの最新バージョンをインストールしてください。