CVE-2024-51026 - Уязвимость межсайтового скриптинга (XSS) в NetAdmin IAM

Описание

Система NetAdmin IAM (версия 4.0.30319) имеет уязвимость межсайтового скриптинга (XSS) в конечной точке /BalloonSave.ashx, где можно внедрить вредоносную нагрузку в поле Content=. Любой аутентифицированный пользователь может воспользоваться этой уязвимостью, вставив скрипт в поле "Content" запроса внутри описанной конечной точки. Этот скрипт будет выполняться при каждом обновлении уязвимой страницы.

Детали уязвимости

• Тип: Межсайтовый скриптинг (XSS)
• Затронутая версия: 4.0.30319

Оценка CVSS и векторы атаки

• Базовая оценка (CVSS): 7.3
• Векторы атаки: Калькулятор CVSS

Уязвимая конечная точка

• URL: https://netadmin.mysystem/BalloonSave.ashx
• Затронутый параметр: Content=

Решение

Статус исправления

• На стадии согласования: Исправление этой уязвимости в настоящее время находится на стадии согласования.

Рекомендации по смягчению

Пока официальное исправление не будет предоставлено поставщиком, рекомендуется:

1. Запросить обновление версии у поставщика системы.
2. Внедрить дополнительные меры безопасности, такие как ограничения на ввод данных пользователями, чтобы снизить риск внедрения XSS.

Ссылки по смягчению

• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
• CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)
• CWE-116: Improper Encoding or Escaping of Output
• CWE-159: Improper Handling of Insufficient Privileges

---

Для получения более подробной информации об этой уязвимости или технической помощи по внедрению мер смягчения обращайтесь в службу безопасности поставщика.