ozozuz/qlik-view-12.60-including-sr-stored-cross-site-scripting-cve-2022-42248CVE-2022-42248の概念実証エクスプロイト。QlikView Ajax Clientにおける格納型クロスサイトスクリプティング脆弱性であり、リモートの攻撃者が巧妙に細工されたHTTP POSTリクエストを介して任意のWebスクリプトを実行できるようにする。
リビジョン: 1.0
影響: QlikView Ajax Clientにおける格納型クロスサイトスクリプティングにより、リモート攻撃者がインタラクティブオブジェクト作成時の許可プロトコル制限をバイパスし、被害者のブラウザで任意のWebスクリプトまたはHTMLを実行できるようになります。
深刻度:
CVSSスコア:
CVE-ID: CVE-2022-42248
ベンダー: Qlik
影響を受ける製品:
影響を受けるバージョン: 12.60以前、SRビルドを含む
QlikViewは、インタラクティブなダッシュボードや分析コンテンツを探索・提示するためのビジネスインテリジェンスおよびデータ可視化プラットフォームです。
QlikView Ajax Clientでは、インタラクティブオブジェクト作成時に許可されるプロトコルに適用される検証が、特別に細工されたHTTP POSTリクエストによってバイパスされる可能性があります。これにより、攻撃者は悪意のあるWebコンテンツを保存し、後でユーザーにレンダリングさせることができます。
ペイロードは保存され、その後アプリケーションフローを通じて提供されるため、ブラウザは信頼されたQlikViewオリジンのコンテキストで注入されたスクリプトまたはHTMLを実行します。
インタラクティブオブジェクト作成フローにペイロードを注入する、細工されたHTTP POSTリクエストを送信します。
ペイロード例:
<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.domain)"></svg>
悪意のあるコンテンツが受け入れられ、影響を受けるオブジェクトがQlikView Ajax Clientでレンダリングされたときに実行されます。
QlikViewリリースノート 2022年5月 SR2を参照し、12.70 SR2以上にアップグレードしてください。
この脆弱性は以下の人物によって発見・報告されました:
Copyright (c) 2025 Giulio Garzia "Ozozuz"