CVE-2020-16270

[제안된 설명]: OLIMPOKS 3.3.39 미만 버전에서 Auth/Admin ErrorMessage XSS가 허용됩니다.
원격 공격자는 발견된 취약점을 악용하여 취약한 애플리케이션의 컨텍스트에서 피해자 브라우저에 악성 JavaScript 페이로드를 주입할 수 있습니다. 실행된 코드는 관리자 쿠키를 탈취하고, 대상 애플리케이션의 HTML 콘텐츠에 영향을 주며, 피싱 관련 공격을 수행하는 데 사용될 수 있습니다. 취약한 애플리케이션은 소매업부터 산업계까지 다양한 분야의 3000개 이상의 조직에서 사용되고 있습니다.
[추가 정보]:
취약점에 관한 서신이 공급업체에 발송되었습니다. 취약점은 공급업체에 의해 확인되었습니다.
취약점은 정부 기관에 의해 확인되었습니다: https://bdu.fstec.ru/vul/2020-04623
[취약점 유형]: 크로스 사이트 스크립팅 (XSS)
[제품 공급업체]: olimpoks.ru
[영향을 받는 제품 코드 베이스]: 3.3.39 미만의 온라인 olimpoks 시스템.
[공격 유형]: 원격
[서비스 거부(DoS) 영향]: False
[정보 공개 영향]: True
[공격 벡터]: 취약한 URL 및 매개변수: http://olimpoks.TARGET-HOST:9001/Auth/Admin?ErrorMessage=bb%27);alert(1);//
[발견자]: Alexander Semenenko, Luka Safonov, Sergey Zelensky
[개념 증명]: